2018年9月6日星期四
Tor Browser 8.0 发布 zz
Tor 匿名网络发布了最新的稳定版浏览器 Tor Browser 8.0 。Tor Browser 8.0 是基于 Firefox 60 ESR 的首个稳定版本，主要是改进了一系列用户体验，其中包括用户可以随时要求生成新的 Tor 链路；可以直接在浏览器上请求新的网桥地址，而以前用户在网桥失效之后要获取新网桥只能通过网站或电子邮件；改进对繁体中文等语言的支持，等等。其它版本相关的变化包括 Firefox 60.2.0esr，Tor 0.3.3.9、OpenSSL 1.0.2p、Libevent 2.1.8，Torbutton 2.0.6 等等。
2015年7月7日星期二
亚马逊开源它的TLS库 zz
亚马逊在Apache许可证下开源了它的TLS实现库s2n，代码托管在Github上。s2n只有6000多行代码，只相当于OpenSSL的1%多一点。OpenSSL备受人诟病的一点就是代码过于复杂，难以检查和安全评估，去年OpenSSL曝出高危漏洞Heartbleed之后，OpenBSD就创建了分支LibreSSL。亚马逊明确表示会支持OpenSSL，s2n并没有提供额外的加密功能，它只实现了SSL/TLS特性的一个相对小的子集。
标签： Apache, Github, OpenSSL, TLS
2014年4月27日星期日
微软Google思科宣布将资助OpenSSL等开源项目 zz
OpenSSL高危漏洞Heartbleed的曝光，终于促使受益于开源项目的科技巨头展开行动，提供资金资助这些已成为互联网基础设施一部分的开源项目的开发和维护。亚马逊、思科、戴尔、Facebook、富士通、Google、IBM、英特尔、微软、NetApp、高通、Rackspace和VMWare等成立了Core Infrastructure Initiative，识别和资助在核心计算设备和网络功能中广泛使用的开源项目，此举是为了回应Heartbleed危机，OpenSSL加密库将是首批获得资助的项目，其它重要的开源项目将会随后获得资助。资金将由Linux基金会和一个指导委员会管理，指导委员会成员包括了这些提供资金的企业、重要的开源开发者和行业利益攸关者。
标签： Amazon, Cisco, Dell, facebook, Fujitu, google, Heartbleed, ibm, Intel, microsoft, NetApp, OpenSSL, Qualcomm, Rackspace, vmware
2014年4月20日星期日
Heartbleed测试网站在数小时内被窃走私钥 zz
OpenSSL Heartbleed漏洞的危险程度被安全专家称为是“灾难级”，攻击者能利用该漏洞窃走受影响网站的用户密码和私钥，此前的研究发现用户明文密码确实会暴露，但窃取私钥尚未有报道。云计算公司CloudFlare发起了一个 Heartbleed挑战赛，使用nginx Web服务器和存在漏洞的OpenSSL版本搭建了一个网站，邀请挑战者通过攻击窃取私钥。结果短短几小时私钥就被安全研究人员成功窃取，至今有4个人通过了挑战：软件工程师Fedor Indutny发送了至少250万次请求， Ilkka Mattila发送了约10万次请求，另外两位是剑桥大学博士生Rubin Xu和安全研究员 Ben Murphy。这项挑战赛显示，使用存在漏洞的OpenSSL版本的网站应该废除所有旧私钥和证书。
标签： CloudFlare, Heartbleed, OpenSSL
Heartbleed漏洞披露时间表 zz
《悉尼先驱晨报》跟踪了OpenSSL高危漏洞Heartbleed的整个披露过程：在3月21日前后，Google安全团队的Neel Mehta发现了Heartbleed漏洞，Google的Bodo Moeller和Adam Langley递交了一个补丁，补丁逐步应用到Google在全球的服务器。3月31日，有人将该漏洞告诉了CDN服务商CloudFlare，CloudFlare给OpenSSL打上了补丁。4月1日， Google通知了OpenSSL。4月2日，芬兰安全测试公司Codenomicon 独立（是否真正独立存疑）发现了Heartbleed漏洞。4月3日，Codenomicon通知了芬兰国家网络安全中心。4月4日，另一个主要CDN供应商 Akamai开始给服务器打补丁。有关OpenSSL高危漏洞的流言开始在开源社区流传。4月5日，Codenomicon购买了Heartbleed.com域名。4月6日，Red Hat的一位OpenSSL开发者Mark Cox将Heartbleed漏洞通知了Red Hat。Red Hat的Huzaifa Sidhpurwala当天23点左右向SuSE、Debian、FreeBSD和AltLinux公布了漏洞细节，各大发行版开始忙着打补丁。Sidhpurwala睡觉，没有回应Ubuntu和Gentoo等在凌晨发出的请求。4月7日，漏洞正式对外公布。
标签： Akamai, CDN, CloudFare, Codenomicon, google, Heartbleed, OpenSSL
Heartbleed漏洞撕破了开源安全的伪装？ zz
开源软件OpenSSL高危漏洞Heartbleed的曝光打击了自由开源软件安全的自封神话：当源代码公开并且每天都与之打交道，像Heartbleed这样的严重bug是不应该发生的。ESR(Eric Raymond)有一个著名的名言：有足够的人盯着，所有的bug都能很快发现。但Heartbleed bug存在了超过两年时间。私有软件的用户现在认为，Heartbleed撕破了开源安全的伪装。自由软件基金会此前曾为之辩护，认为漏洞会在任何代码上发生，而开源的一大优势是在发现问题时能及时修正，不需要无助的等待私有软件开发商发布补丁。
标签： Heartbleed, OpenSSL
开源闭源项目代码质量对比 zz
开源项目OpenSSL漏洞Heartbleed的曝光引发了开源闭源项目安全的争论。Coverity每年都会扫描大量开源和闭源项目的代码，评估其质量发现其缺陷。最新的报告显示，开源项目的代码质量（以缺陷密度这一数据进行衡量）优于闭源项目。Coverity扫描分析了超过700个开源C/C++项目和闭源企业软件项目的样本，发现开源C/C++项目的平均缺陷密度为0.59（缺陷密度1代表每一千行代码发现一个缺陷），企业闭源项目的平均缺陷密度为0.72。报告称，Linux平均修复一个新发现缺陷的时间仅仅只需要6天，它的850多万行代码的缺陷密度为0.61；被扫描的Java项目开发者只修复13%的已识别资源泄漏bug，而 C/C++项目开发者修复了46%。
标签： Heartbleed, OpenSSL
Tor屏蔽存在Heartbleed漏洞的出口节点 zz
Tor项目开始将易于受到OpenSSL的Heartbleed漏洞影响的出口节点加入到黑名单。东北大学系统安全实验室的研究员Collin Mulliner利用公开的Heartbleed概念验证攻击代码扫描了5000个Tor中继节点，发现1045个节点存在Heartbleed漏洞。Mulliner称，只有出口节点才会泄漏用户的明文流量。Tor项目负责人Roger Dingledine随后在邮件列表上宣布屏蔽380个受漏洞影响的出口节点。
标签： Heartbleed, OpenSSL, Tor
2014年4月17日星期四
Heartbleed漏洞会暴露OpenVPN私钥 zz
Heartbleed漏洞会影响运行OpenVPN的VPN供应商。OpenVPN是一种开源的VPN软件，开发者已经发出警告，OpenSSL的Heartbleed漏洞可能会暴露VPN的加密私钥，OpenVPN默认使用的加密库就是OpenSSL。一家瑞典VPN服务的管理员Fredrik Strömberg在一台测试服务器上演示了Heartbleed攻击。他指出，从 OpenVPN服务器上窃取私钥要比从Web服务器上窃取私钥难度更大，因为OpenVPN流量封装在OpenVPN特定容器的加密HTTPS流量中，要窃取私钥需要先将OpenVPN数据包中的TLS数据分离开来。
标签： Heartbleed, OpenSSL, OpenVPN
2010年3月5日星期五
OpenSSL中发现严重安全漏洞 ZZ
计算机科学家称他们在世界上最广泛使用的软件加密包OpenSSL中发现了一个严重的安全漏洞，该漏洞允许他们取回机器的加密密钥。
OpenSSL是一个开源的SSL库，被广泛应用在应用程序和操作系统中保护敏感数据。密歇根大学的科学家称，OpenSSL的漏洞很容易通过对底层错误校检算法应用“盐”加密而得到修正。一位OpenSSL官员表示工程师正在开发补丁。
OpenSSL是一个开源的SSL库，被广泛应用在应用程序和操作系统中保护敏感数据。密歇根大学的科学家称，OpenSSL的漏洞很容易通过对底层错误校检算法应用“盐”加密而得到修正。一位OpenSSL官员表示工程师正在开发补丁。
标签： OpenSSL, Vulnerability
订阅 博文 [Atom]