OpenSSL - Heartbleed-Bug
-
Auf Serverseite ist OpenSSL in der freien Softwarewelt quasi Standard. Wie soll man sich verhalten, um keinen Schaden zu nehmen?
-
Updaten bzw. hoffen, dass die Gegenstelle zeitnah updated
-
Du kannst die Server auf den Bug prüfen, in dem du deren URL auf dieser Seite eingibst:
Wenn die Server verwundbar sind oder die Certifikate nicht erneuert wurden, dann würde ich sie an deiner Stelle nicht nutzen.
Das gilt insbesondere fürs Online Banking.Ein durch diesen Bug gestohlenes Original Certifikat dürfte sich nämlich meiner Einschätzung nach für einen Man in the Middle Angriff eignen.
Warte also besser ab, bis der Server gepatched und das Certifikat ausgetauscht wurde.
-
Steam ist anfällig!
-
GMX war anfällig, ist es jetzt aber nicht mehr.
Meine ganzen E-Mail Passwörter muss ich wohl aber trotzdem ändern:
-
Hier gibt es eine Liste:
Wer da nen Account hat, sollte dort sein PW ändern.
-
cplusplus.com steht übrigens in der Liste.
-
Leute die nen Account bei Google haben, sollten ihr PW auch updaten, nachdem Google endlich das Certifikat erneuert hat, was sie aktuell noch nicht haben. Sauerrei!
-
Ist putty eigentlich auch betroffen?
-
Putty schrieb:
Ist putty eigentlich auch betroffen?
Putty hat eine eigene SSH Implementierung, von daher wohl nicht direkt, die Serverseite andererseits...
-
-
cooky451 schrieb:
Putty schrieb:
Ist putty eigentlich auch betroffen?
Putty hat eine eigene SSH Implementierung, von daher wohl nicht direkt, die Serverseite andererseits...
Thx.
-
Die digitale Welt zeigt nun sehr deutlich die "dunkle Seite der Macht". Man kann privat gut ohne online-banking und smart phone leben.
-
Erhard Henkes schrieb:
Die digitale Welt zeigt nun sehr deutlich die "dunkle Seite der Macht". Man kann privat gut ohne online-banking
und smart phoneleben.Kann man nicht.
Ich finde Online Banking sehr praktisch.Und ein TAN Generator schützt auch gegen Man in the Middle Angriffe, da die generierte TAN von der Kontonummer und dem Betrag abhängt.
Bezüglich dem Smart Phone stimme, aber nur bezüglich Smart Phones.
Nicht bezüglich Mobile Phones generell, denn inzwischen ist es leider so, dass es kaum noch öffentliche Telefonzellen gibt.
Also braucht man in seltenen Fällen doch wieder ein mobiles Telefon. Nur auf ein Smart Phone, darauf kann man gerne verzichten.
-
machteuchdochindieHosen schrieb:
Dein Nick zeigt, dass du dir der Gefahr nicht bewusst bist.
Der Schreiber im FAZ Artikel hat Recht.
Beängstigend ist nur, dass das leider nur sehr wenige Medien gemerkt haben und so nach außen transportieren und der FAZ Artikel kommt auch 2 Tage zu spät.In der Tagesschau wurde der OpenSSL Bug nur in einem Internetartikel als Randnotiz angesprochen, dabei hätte der als Topmeldung in die 20:15 Uhr Tagesschau gehört, so schwerwiegend ist das Problem.
Besonders ärgerlich ist, dass am gleichen Tag die News zur Einstellung von Windows XP und die komprimitierte E-Mail Geschichte bezüglich des BND stattdessen gesendet wurde, während die wesentlich schwerwiegendere OpenSSL Geschichte gar keine Sendeminute erhielt.
DAS ist beängstigend.Mein Vater wusste gar nicht, warum er sein recht gut gewähltes PW bei web.de ändern sollte, das hat er erst verstanden, nach dem ich es ihm erklärt habe.
Hätte ihn die Tagesschau informiert, hätte er es selber gewusst.
-
Guckt euch mal den Fix an: https://github.com/openssl/openssl/commit/731f431497f463f3a2a97236fe0187b11c44aead
Überall Magic Numbers! Also Qualität wird dort glaube ich klein geschrieben.
-
Also echt, dieser Code
+ if (1 + 2 + payload + 16 > s->s3->rrec.length) ... + n2s(p, payload); + if (1 + 2 + payload + 16 > s->s3->rrec.length) ... + unsigned int write_length = 1 /* heartbeat type */ + + 2 /* heartbeat length */ + + payload + padding;Typisches Beispiel, wie man Kommentare schlecht einsetzt. Das gehört zentral in Konstanten verpackt oder sogar in eine Funktion ausgelagert (in C++ hätte man ein Lambda genommen).
-
Ich finde Online Banking sehr praktisch.
Ja, das ist für Gauner ideal. Ich habe es nie begonnen, da hier - in diesem Forum von Fachleuten! - davon abgeraten wurde. Ich denke, wir müssen die analoge und unbequeme Welt wieder zurück gewinnen, um die Zukunft zu sichern.
-
Erhard Henkes schrieb:
Ich finde Online Banking sehr praktisch.
Ja, das ist für Gauner ideal. Ich habe es nie begonnen, da hier - in diesem Forum von Fachleuten! - davon abgeraten wurde. Ich denke, wir müssen die analoge und unbequeme Welt wieder zurück gewinnen, um die Zukunft zu sichern.
Wie ich bereits sagte, Online Banking mit Tan Generator oder via Secoder ist sicher.
Lediglich das alte TAN Verfahren, iTAN, mTAN oder HBCI ohne Class 2 Gerät ist als unsicher einzustufen.
Du kannst heutzutage also ruhigen Gewissens die Vorzüge des Online Banking nutzen.
Und was den Thread betrifft, den würde ich mir mal gerne durchlesen.
Link?
-
Wie immer gibt's ein gutes Comic und so klar verständlich, selbst für nicht Programmierer:
http://xkcd.com/1354/