forum.opennet.ru - "Инцидент с уязвимостью в сервисе Let's Encrypt" (63)

"Инцидент с уязвимостью в сервисе Let's Encrypt"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
Сообщение от opennews on 10-Янв-18, 09:45
Сервис Let's Encrypt экстренно отключил (https://letsencrypt.status.io/) поддержку проверки владения доменом с использованием метода TLS-SNI-01 из-за разбора сведений о наличии уязвимости в его реализации. Достоверность информации о проблеме оценивается (https://letsencrypt.status.io/pages/incident/55957a99e800baa...) как высокая, но детальные данные о сути уязвимости пока не сообщаются. Упоминается только то, что уязвимость позволяла получить неправомерный сертификат от Let's Encrypt. Инцидент затрагивает работу серверов acme-v01.api.letsencrypt.org (первичный), acme-staging.api.letsencrypt.org (резерв) и acme-staging-v02.api.letsencrypt.org (резерв). По имеющимся данным (https://news.ycombinator.com/item?id=16112894) проблема связана с логикой взаимодействия протокола и сервисов провайдера. Отключение TLS-SNI полностью блокирует проявление уязвимости. Решено об отключении TLS-SNI на постоянной основе пока не принято и работа команды сосредоточена на выработке исправления, которое позволило бы вернуть поддержку TLS-SNI. В настоящее время не найдено признаков эксплуатации проблемы, кроме проверочных атак, выполненных исследователем, выявившим уязвимость. URL: https://news.ycombinator.com/item?id=16112237 Новость: https://www.opennet.ru/opennews/art.shtml?num=47882
Ответить \| Правка \| Cообщить модератору

Оглавление

Инцидент с уязвимостью в сервисе Let's Encrypt, Витя Пиканов, 09:45 , 10-Янв-18, (1) –9
Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 10:03 , 10-Янв-18, (2) +37

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 10:08 , 10-Янв-18, (4) –3

Инцидент с уязвимостью в сервисе Let's Encrypt, X4asd, 10:18 , 10-Янв-18, (6) +14

Инцидент с уязвимостью в сервисе Let's Encrypt, А, 12:26 , 10-Янв-18, (28) +6

Инцидент с уязвимостью в сервисе Let's Encrypt, dep, 15:55 , 10-Янв-18, (46)

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 21:10 , 10-Янв-18, (61)

Инцидент с уязвимостью в сервисе Let's Encrypt, depeche, 21:11 , 10-Янв-18, (62)

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 16:44 , 10-Янв-18, (48) +3

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 18:27 , 10-Янв-18, (55) +1

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 21:32 , 10-Янв-18, (63)

Инцидент с уязвимостью в сервисе Let's Encrypt, Алког, 06:05 , 13-Янв-18, (70)

Инцидент с уязвимостью в сервисе Let's Encrypt, Антонима, 10:16 , 10-Янв-18, (5) –1
Инцидент с уязвимостью в сервисе Let's Encrypt, anomymous, 10:42 , 10-Янв-18, (8) –12

Инцидент с уязвимостью в сервисе Let's Encrypt, A.Stahl, 10:51 , 10-Янв-18, (9) +8

Инцидент с уязвимостью в сервисе Let's Encrypt, anomymous, 11:57 , 10-Янв-18, (18) –18

Инцидент с уязвимостью в сервисе Let's Encrypt, A.Stahl, 12:21 , 10-Янв-18, (22) +15

Инцидент с уязвимостью в сервисе Let's Encrypt, jfjfjfj, 21:52 , 10-Янв-18, (64)

Инцидент с уязвимостью в сервисе Let's Encrypt, Алког, 06:28 , 13-Янв-18, (71)

Инцидент с уязвимостью в сервисе Let's Encrypt, А, 12:28 , 10-Янв-18, (29) +3

Инцидент с уязвимостью в сервисе Let's Encrypt, КО, 13:31 , 10-Янв-18, (35)
Инцидент с уязвимостью в сервисе Let's Encrypt, ., 13:59 , 10-Янв-18, (38) –5

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 18:35 , 10-Янв-18, (56) +2
Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 19:53 , 10-Янв-18, (60)

Инцидент с уязвимостью в сервисе Let's Encrypt, anomymous, 12:05 , 10-Янв-18, (20) +1

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 19:23 , 10-Янв-18, (57)
Инцидент с уязвимостью в сервисе Let's Encrypt, angra, 19:45 , 10-Янв-18, (58)

Инцидент с уязвимостью в сервисе Let's Encrypt, Sw00p aka Jerom, 02:11 , 11-Янв-18, (66)

Инцидент с уязвимостью в сервисе Let's Encrypt, Andrey Mitrofanov, 11:10 , 10-Янв-18, (12)
Инцидент с уязвимостью в сервисе Let's Encrypt, А, 12:29 , 10-Янв-18, (31) +2

Инцидент с уязвимостью в сервисе Let's Encrypt, ., 14:02 , 10-Янв-18, (39)

Инцидент с уязвимостью в сервисе Let's Encrypt, gaga, 14:51 , 10-Янв-18, (43) +1

Инцидент с уязвимостью в сервисе Let's Encrypt, _, 17:29 , 10-Янв-18, (51)

Инцидент с уязвимостью в сервисе Let's Encrypt, пох, 17:52 , 10-Янв-18, (52)

Инцидент с уязвимостью в сервисе Let's Encrypt, непох, 18:16 , 10-Янв-18, (54) +1

Инцидент с уязвимостью в сервисе Let's Encrypt, Гентушник, 08:27 , 11-Янв-18, (67) +1

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 12:50 , 10-Янв-18, (33) –1

Инцидент с уязвимостью в сервисе Let's Encrypt, XoRe, 22:29 , 10-Янв-18, (65)

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 19:50 , 10-Янв-18, (59) +1

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 10:06 , 10-Янв-18, (3) +2
Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 10:20 , 10-Янв-18, (7) –1

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 13:34 , 10-Янв-18, (36)

Инцидент с уязвимостью в сервисе Let's Encrypt, Crazy Alex, 16:08 , 10-Янв-18, (47)

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 11:05 , 10-Янв-18, (11)
Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 11:19 , 10-Янв-18, (14) –18

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 11:32 , 10-Янв-18, (15) +13

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 12:04 , 10-Янв-18, (19) +4

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 14:11 , 10-Янв-18, (41)

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 16:47 , 10-Янв-18, (49)

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 17:26 , 10-Янв-18, (50) +1

Инцидент с уязвимостью в сервисе Let's Encrypt, Andrey Mitrofanov, 11:38 , 10-Янв-18, (16)
Инцидент с уязвимостью в сервисе Let's Encrypt, ., 12:19 , 10-Янв-18, (21) –1

Инцидент с уязвимостью в сервисе Let's Encrypt, А, 12:30 , 10-Янв-18, (32)

Инцидент с уязвимостью в сервисе Let's Encrypt, key, 15:32 , 10-Янв-18, (45)

Инцидент с уязвимостью в сервисе Let's Encrypt, Дуплик, 11:55 , 10-Янв-18, (17) +2

Инцидент с уязвимостью в сервисе Let's Encrypt, Michael Shigorin, 12:22 , 10-Янв-18, (23) –3

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 12:26 , 10-Янв-18, (27) +4

Инцидент с уязвимостью в сервисе Let's Encrypt, Шкурка_от_головки, 14:14 , 11-Янв-18, (69)

Инцидент с уязвимостью в сервисе Let's Encrypt, xm, 12:59 , 10-Янв-18, (34) +2

Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 13:42 , 10-Янв-18, (37) +2

Инцидент с уязвимостью в сервисе Let's Encrypt, xm, 14:38 , 10-Янв-18, (42)
Инцидент с уязвимостью в сервисе Let's Encrypt, Аноним, 15:29 , 10-Янв-18, (44)
Инцидент с уязвимостью в сервисе Let's Encrypt, angra, 18:12 , 10-Янв-18, (53) +1

Сообщения по теме [Сортировка по времени | RSS]

1. "Инцидент с уязвимостью в сервисе Let's Encrypt" –9 +/–

Сообщение от Витя Пиканов on 10-Янв-18, 09:45

Капец, ждем подробностей.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Инцидент с уязвимостью в сервисе Let's Encrypt" +37 +/–

Сообщение от Аноним (??) on 10-Янв-18, 10:03

Теперь все самые умные начнут орать, что бесплатнатные CA - зло, забыв указать, что платные - существенно большее зло, хотя бы потому, что платные будут о проблеме молчать до последнего (годами!), чтобы только продолжать з/п и бонусы получать, а LE взялись за решение, не дожидаясь массовой эксплуатации вопроса.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Инцидент с уязвимостью в сервисе Let's Encrypt" –3 +/–

Сообщение от Аноним (??) on 10-Янв-18, 10:08

> платные будут о проблеме молчать до последнего (годами!), чтобы только продолжать з/п и бонусы получать
Любопытная гипотеза. Впрочем, насчет пруфов можешь не беспокоиться -- я уже слепо поверил тебе на слово и теперь ненавижу "платные СА" всей душой и сердцем.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

6. "Инцидент с уязвимостью в сервисе Let's Encrypt" +14 +/–

Сообщение от X4asd (ok) on 10-Янв-18, 10:18

> и теперь ненавижу "платные СА" всей душой и сердцем
а что -- есть те кто их любят?

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

28. "Инцидент с уязвимостью в сервисе Let's Encrypt" +6 +/–

Сообщение от А (??) on 10-Янв-18, 12:26

Судя по ценам на сертификаты от Симантека ("пока не всплыли жуткие подробности") - да.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

46. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от dep on 10-Янв-18, 15:55

Какой там был порядок цен до и после?

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

61. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 21:10

Больше миллиарда зелени за контору целиком до и чуть меньше после.

Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

62. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от depeche (??) on 10-Янв-18, 21:11

Та я о ценах сертификатов спрашиваю.

Ответить | Правка | ^ к родителю #61 | Наверх | Cообщить модератору

48. "Инцидент с уязвимостью в сервисе Let's Encrypt" +3 +/–

Сообщение от Аноним (??) on 10-Янв-18, 16:44

Можешь больше не просить у него пруфы, т.к. прими мои слова за доказательство: если у меня будет платный сервис, то он до последнего будет молчать годами в надежде что все забудется и пронесет. И если ради этого придется кому-то "задонатить" не в убыток себе, то будь уверен - будет сделано все лишь бы получать доход, з/п и бонусы. Пойми что платный сервис должен приносить только доход!
Все.
PS: Ты можешь думать что я один в мире такой, с такой "уникальный" позицией и успокоиться на этом посчитав что угроз нет. - Что ж, твое право (или тупость).

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

55. "Инцидент с уязвимостью в сервисе Let's Encrypt" +1 +/–

Сообщение от Аноним (??) on 10-Янв-18, 18:27

Фу таким быть!

Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

63. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 21:32

Куда деваться если борбьа за выживание обязывает? Можешь меня ненавидеть, но нас миллионы. Миллиарды.

Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

70. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Алког on 13-Янв-18, 06:05

> Можешь больше не просить у него пруфы, т.к. прими мои слова за
> доказательство: если у меня будет платный сервис, то он до последнего
> будет молчать годами в надежде что все забудется и пронесет.
Угу. Обворовываемые лохи однако причитать будут... Впрочем конечно кого эти лохи волнуют >:-)

Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

5. "Инцидент с уязвимостью в сервисе Let's Encrypt" –1 +/–

Сообщение от Антонима on 10-Янв-18, 10:16

пока лодку раскачиваете только вы, вот уже и предсказали вопли "самых умных" касаемо инцидента, как такое может в голову прийти малообразованному человеку, неясно.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

8. "Инцидент с уязвимостью в сервисе Let's Encrypt" –12 +/–

Сообщение от anomymous on 10-Янв-18, 10:42

Зло - бесплатные CA с интервалом обновления 3 месяца.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

9. "Инцидент с уязвимостью в сервисе Let's Encrypt" +8 +/–

Сообщение от A.Stahl (ok) on 10-Янв-18, 10:51

Ну не руками же тебе их обновлять. Скрипт есть.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

18. "Инцидент с уязвимостью в сервисе Let's Encrypt" –18 +/–

Сообщение от anomymous on 10-Янв-18, 11:57

Как бы тебе объяснить: я не доверяю системам, выдающим сертификаты без подтверждения того, что владелец состоит из мяса, кожи, костей и прочих органических субстанций. Хотя бы капчей.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

22. "Инцидент с уязвимостью в сервисе Let's Encrypt" +15 +/–

Сообщение от A.Stahl (ok) on 10-Янв-18, 12:21

Я не спец во всяких этих сертификатах-секьюриратах, но всегда считал что сертификаты это не про "мясо, кожу и кости", а про соответствие домена и пришедших данных.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

64. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от jfjfjfj on 10-Янв-18, 21:52

То есть выдал судебное постановление регистратору - и можешь подменять сертификат пайратбея?

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

71. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Алког on 13-Янв-18, 06:28

> То есть выдал судебное постановление регистратору - и можешь подменять сертификат пайратбея?
И тут внезапно всплывают такие вещи, как легитимность так называемых "судов", коррумпированность и вообще их подмена...

Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

29. "Инцидент с уязвимостью в сервисе Let's Encrypt" +3 +/–

Сообщение от А (??) on 10-Янв-18, 12:28

> Как бы тебе объяснить: я не доверяю системам, выдающим сертификаты без подтверждения
> того, что владелец состоит из мяса, кожи, костей и прочих органических
> субстанций. Хотя бы капчей.
Т.е. подтверждения владения доменом тебе мало? ))
А капчу распознать через сеть живых роботов, если на нейросеть мозгов нет, так трудно, что это прямо подтверждает, что распознавший к домену имеет отношение?

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

35. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от КО on 10-Янв-18, 13:31

А разве речь идет о владении доменом? Вроде бы достаточно слегка им поуправлять, ну или создать видимость для выдающего сертификат.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

38. "Инцидент с уязвимостью в сервисе Let's Encrypt" –5 +/–

Сообщение от . on 10-Янв-18, 13:59

> Т.е. подтверждения владения доменом тебе мало? ))
владение и возможность нагадить на этом домене - разные вещи.
Ваш любимый (ибо вы нищeброды и экономите три копейки) халявный помоешник проверяет именно последнее. И, ну надо же, никогда не было, и вот, опять - споткнулся о то, что нагадить, оказывается, можно даже не имея к домену никакого отношения вовсе.
А первое - юридическая категория.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

56. "Инцидент с уязвимостью в сервисе Let's Encrypt" +2 +/–

Сообщение от Аноним (??) on 10-Янв-18, 18:35

> подтверждения того, что владелец состоит из мяса, кожи, костей и прочих органических субстанций
Защита от регистрации домена ботом — забота регистратора домена и к сертификатам отношения не имеет. Также как наличие/отсутствие "органических субстанций" во владельце никак не связано с его добропорядочностью (во взломщиках, вирусописателях и т.п. этих субстанций не меньше, чем в любом другом человеке).

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

60. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 19:53

> органических субстанций
Ты расист и ксенофоб!

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

20. "Инцидент с уязвимостью в сервисе Let's Encrypt" +1 +/–

Сообщение от anomymous on 10-Янв-18, 12:05

Ну и да, сотни любителей скриптов с этим отключением TLS-SNI challenge уже влетели :)

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

57. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 19:23

Отлично, минус сотни ботов для ботнетов. Глядишь научатся следить за серверами хоть иногда.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

58. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от angra (ok) on 10-Янв-18, 19:45

И как же именно они влетели? Или ты не в курсе, что сертификат можно обновлять не за пять минут до истечения его срока, а за пару недель или даже больше? Так что никаких проблем у подавляющего большинства любителей скриптов за время разбора инцидента не возникнет.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

66. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Sw00p aka Jerom on 11-Янв-18, 02:11

>>можно обновлять
обновляешь - по истечению срока, до - отзываеш

Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

12. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Andrey Mitrofanov on 10-Янв-18, 11:10

> Зло - бесплатные CA с интервалом обновления 3 месяца.
У нас есть гордый победитель и первонкс номинации "все самые умные начнут орать". Ура, оскар отдыхает.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

31. "Инцидент с уязвимостью в сервисе Let's Encrypt" +2 +/–

Сообщение от А (??) on 10-Янв-18, 12:29

> Зло - бесплатные CA с интервалом обновления 3 месяца.
Зло - ленивые админы. Раз в год они бегают по серверам и меняют серты руками, т.к. скриптом не осилили, а раз в 3 месяца им влом.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

39. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от . on 10-Янв-18, 14:02

>> Зло - бесплатные CA с интервалом обновления 3 месяца.
> Зло - ленивые админы. Раз в год они бегают по серверам и
> меняют серты руками, т.к. скриптом не осилили, а раз в 3
мы осилили. И совершенно сознательно не доверяем критическую часть своей безопасности твоим замечательным скриптам (в которых ты "осилил" скачать незнамочто незнамооткуда и неглядя запустить - параметры скопировал со stackoverflow - великий осилятор)
> месяца им влом.
а раз в три месяца (с контролем результата и принятием мер если что-то показалось подозрительным) - физически невозможно, если это не локалхост.

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

43. "Инцидент с уязвимостью в сервисе Let's Encrypt" +1 +/–

Сообщение от gaga (ok) on 10-Янв-18, 14:51

Ну хз что ты там не можешь скриптом обновить. У ЛЕ есть опция - только скачать сертификаты, не устанавливая их в веб-сервер автоматически. Так вот, у нас скрипт так и делает: генерирует новый серт, делает стандартный sanity-check (даты, CN, алгоритмы и т.д.), устанавливает его на тестовый сервер, после чего проверяет, что к нему можно без проблем подключиться клиентом, и только после этого копирует его в продакшн-сервер и шедулит рестарт на следующий день, уведомляя всех заинтересованных письмом. Имхо это значительно надежней, чем руками что-то там куда-то копировать.

Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

51. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от _ (??) on 10-Янв-18, 17:29

Ну положим твоим коллегам повезло. И таких аж 0.0003% :-)
Остальные берут копипасту со стэковерфлоу, и "не приходя в сознание" ставят это в рутовый крон 8-/

Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

52. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от пох on 10-Янв-18, 17:52

> Ну положим твоим коллегам повезло.
да не очень. Радости читать такие письма щастья, когда раз в месяц надо обновлять/перезагружать каждый из n...нет, мало, m серверов - ровно никакой, никто их и не читает. Хорошо если вовремя прочитывают "уп-с, а оно тут не обновилось, ну ничего, у тебя еще два месяца на разобраться и поправить". А то, в большой структуре, бывает что и до этого за два месяца руки не доходят (потому что других, срочных алармов - сотни), опа, серт превратился в тыкву.
затобеслатна! и не от проклятых китайцев, а от правильных гуглоиндусов.
а большинство "осиливших скрипты" и того не могут (и зачем вообще самому что-то ставить в крон, оно apt-get install и через час уже забыло... а от какого пользователя - вообще хз, в крон смотреть некогда, надо дальше ляпать)

Ответить | Правка | ^ к родителю #51 | Наверх | Cообщить модератору

54. "Инцидент с уязвимостью в сервисе Let's Encrypt" +1 +/–

Сообщение от непох on 10-Янв-18, 18:16

я конечно подозревал, что понятия "жава", "ынтрепрайз" и "индусы" неслабо кореллируют, но такого отсутствия фантазии и навыков, чтобы настроить роботов делать работу роботов даже не подозревал
> читать такие письма щастья
> надо обновлять/перезагружать
особенно
> в большой структуре
> за два месяца руки не доходят
ага ага. до критических вещей.
ну и какой же индус без обзывания всех подряд индусами
> а от правильных гуглоиндусов
ну и планы на светлое будущее большой структуры на забываем всем поведать
> надо дальше ляпать

Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

67. "Инцидент с уязвимостью в сервисе Let's Encrypt" +1 +/–

Сообщение от Гентушник (ok) on 11-Янв-18, 08:27

Ирония в том что как раз сегодня у хостинг провайдера "Хостинг-Центр" на всех доменах *.hc.ru протух сертификат выданный thawte на год, а на *.hc.ru как раз висят панели управления cpanel, может быть что-то ещё.
Они видимо тоже меняют сертификаты руками :)

Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

33. "Инцидент с уязвимостью в сервисе Let's Encrypt" –1 +/–

Сообщение от Аноним (??) on 10-Янв-18, 12:50

Бесплатные CA, платные CA... "оба хуже" (ц)
Даёшь cert-pinning в каждый браузер! DKIM себе живёт припеваючи без всяких CA.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

65. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от XoRe (ok) on 10-Янв-18, 22:29

> Бесплатные CA, платные CA... "оба хуже" (ц)
> Даёшь cert-pinning в каждый браузер! DKIM себе живёт припеваючи без всяких CA.
Просто пока нельзя автоматом заработать много денежков за одно поддельное письмецо.

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

59. "Инцидент с уязвимостью в сервисе Let's Encrypt" +1 +/–

Сообщение от Аноним (??) on 10-Янв-18, 19:50

> чтобы только продолжать з/п <оверквотинг удален> получать
Вот же ж сволочи!

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Инцидент с уязвимостью в сервисе Let's Encrypt" +2 +/–

Сообщение от Аноним (??) on 10-Янв-18, 10:06

хорошо что исследуют и закрывают. Это правильно.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "Инцидент с уязвимостью в сервисе Let's Encrypt" –1 +/–

Сообщение от Аноним (??) on 10-Янв-18, 10:20

Хост в SNI передаётся в открытом виде без шифрования. Я правильно понимаю, что способ атаки в подмене данных SNI в результате MiTM?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

36. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 13:34

Вряд ли. ACME уязвим к MITM by design, это с самого начала было понятно и никого не смущало. К тому же на стороне сервера от MITM не могло остаться никаких следов, а тут утверждают, что следы действий исследователя (чем-то, очевидно, отличающиеся от обычного получения сертификата) осели в логах.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

47. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Crazy Alex (ok) on 10-Янв-18, 16:08

Ну так MITM надо через CT отслеживать, по идее

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

11. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 11:05

>не найдено признаков эксплуатации проблемы

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

14. "Инцидент с уязвимостью в сервисе Let's Encrypt" –18 +/–

Сообщение от Аноним (??) on 10-Янв-18, 11:19

Теперь ждем, когда поддержку Let's Encrypt удалят из браузеров. Давно пора.
Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Инцидент с уязвимостью в сервисе Let's Encrypt" +13 +/–

Сообщение от Аноним (??) on 10-Янв-18, 11:32

А платные сертификаты, выдаваемые кому попало по умолчанию сильно ли лучше?

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

19. "Инцидент с уязвимостью в сервисе Let's Encrypt" +4 +/–

Сообщение от Аноним (??) on 10-Янв-18, 12:04

Конечно нет, так-что ждём когда браузеры перестанут поддерживать любые сертификаты кроме самоподписанных.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

41. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 14:11

Ждём когда браузеры перестанут поддерживать любые сертификаты, кроме государственных.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

49. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 16:47

Это троллинг или глупый анон в упор не видит угрозу?

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

50. "Инцидент с уязвимостью в сервисе Let's Encrypt" +1 +/–

Сообщение от Аноним (??) on 10-Янв-18, 17:26

> Это троллинг или глупый анон в упор не видит угрозу?
глупый анон забыл придумать способ проверки самоподписанного серта в мире огороженного преступниками интернета

Ответить | Правка | ^ к родителю #49 | Наверх | Cообщить модератору

16. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Andrey Mitrofanov on 10-Янв-18, 11:38

> Теперь ждем, когда поддержку Let's Encrypt удалят из браузеров. Давно пора.
> Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.
Да, не-е-е... Только лишь следующие три месяца, товарищ прапорщик. Курите!

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

21. "Инцидент с уязвимостью в сервисе Let's Encrypt" –1 +/–

Сообщение от . on 10-Янв-18, 12:19

ну вы ж понимаете, что поддержку startssl удалили не за то что они (якобы, теоретически, и только на такие домены, которым все равно доверять нельзя) кому-то там могли выдать неправильный сертификат.
А LE - это кого надо нога.
> Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.
могут, но задача LE была не сделать безопасным, а ровно наоборот - сделать подконтрольным кому надо.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

32. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от А (??) on 10-Янв-18, 12:30

Ну да, только Startssl так на все правила клали, что их, конечно, нужно было простить и понять - бунтари, рокнрольщики, конечно!

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

45. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от key (??) on 10-Янв-18, 15:32

Как будто есть разница по сравнению с платными.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

17. "Инцидент с уязвимостью в сервисе Let's Encrypt" +2 +/–

Сообщение от Дуплик (ok) on 10-Янв-18, 11:55

HTTPS Everywhere бгггг.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

23. "Инцидент с уязвимостью в сервисе Let's Encrypt" –3 +/–

Сообщение от Michael Shigorin (ok) on 10-Янв-18, 12:22

> HTTPS Everywhere бгггг.
s/he/ho/

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

27. "Инцидент с уязвимостью в сервисе Let's Encrypt" +4 +/–

Сообщение от Аноним (??) on 10-Янв-18, 12:26

Let's Encrypt лучший! Молодцы, использую везде.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

69. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Шкурка_от_головки (ok) on 11-Янв-18, 14:14

Нищщеброт, он такой

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

34. "Инцидент с уязвимостью в сервисе Let's Encrypt" +2 +/–

Сообщение от xm (ok) on 10-Янв-18, 12:59

Подробнее
https://community.letsencrypt.org/t/2018-01-09-issue-with-tl...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

37. "Инцидент с уязвимостью в сервисе Let's Encrypt" +2 +/–

Сообщение от Аноним (??) on 10-Янв-18, 13:42

> Our tentative plan, once the list is completed, is to re-enable the TLS-SNI-01 challenge type with vulnerable providers blocked from using it.
Они и правда такие наивные? Это ж, небось, большинство шаредов, которых миллионы.

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

42. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от xm (ok) on 10-Янв-18, 14:38

Угу. Типа "плохих мы не пустим".

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

44. "Инцидент с уязвимостью в сервисе Let's Encrypt" +/–

Сообщение от Аноним (??) on 10-Янв-18, 15:29

Шареды на Plesk'е (которых вроде как раз большинство по миру) не подвержены этому - там другой метод проверки используется

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

53. "Инцидент с уязвимостью в сервисе Let's Encrypt" +1 +/–

Сообщение от angra (ok) on 10-Янв-18, 18:12

Я как то не наблюдал на шаредах возможности загрузить свой сертификат.

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Инцидент с уязвимостью в сервисе Let's Encrypt"	–9 +/–
Сообщение от Витя Пиканов on 10-Янв-18, 09:45
Капец, ждем подробностей.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

2. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+37 +/–
Сообщение от Аноним (??) on 10-Янв-18, 10:03
Теперь все самые умные начнут орать, что бесплатнатные CA - зло, забыв указать, что платные - существенно большее зло, хотя бы потому, что платные будут о проблеме молчать до последнего (годами!), чтобы только продолжать з/п и бонусы получать, а LE взялись за решение, не дожидаясь массовой эксплуатации вопроса.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	4. "Инцидент с уязвимостью в сервисе Let's Encrypt"	–3 +/–
	Сообщение от Аноним (??) on 10-Янв-18, 10:08
	> платные будут о проблеме молчать до последнего (годами!), чтобы только продолжать з/п и бонусы получать Любопытная гипотеза. Впрочем, насчет пруфов можешь не беспокоиться -- я уже слепо поверил тебе на слово и теперь ненавижу "платные СА" всей душой и сердцем.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	6. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+14 +/–
	Сообщение от X4asd (ok) on 10-Янв-18, 10:18
	> и теперь ненавижу "платные СА" всей душой и сердцем а что -- есть те кто их любят?
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	28. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+6 +/–
	Сообщение от А (??) on 10-Янв-18, 12:26
	Судя по ценам на сертификаты от Симантека ("пока не всплыли жуткие подробности") - да.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	46. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от dep on 10-Янв-18, 15:55
	Какой там был порядок цен до и после?
	Ответить \| Правка \| ^ к родителю #28 \| Наверх \| Cообщить модератору


	61. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от Аноним (??) on 10-Янв-18, 21:10
	Больше миллиарда зелени за контору целиком до и чуть меньше после.
	Ответить \| Правка \| ^ к родителю #46 \| Наверх \| Cообщить модератору


	62. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от depeche (??) on 10-Янв-18, 21:11
	Та я о ценах сертификатов спрашиваю.
	Ответить \| Правка \| ^ к родителю #61 \| Наверх \| Cообщить модератору


	48. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+3 +/–
	Сообщение от Аноним (??) on 10-Янв-18, 16:44
	Можешь больше не просить у него пруфы, т.к. прими мои слова за доказательство: если у меня будет платный сервис, то он до последнего будет молчать годами в надежде что все забудется и пронесет. И если ради этого придется кому-то "задонатить" не в убыток себе, то будь уверен - будет сделано все лишь бы получать доход, з/п и бонусы. Пойми что платный сервис должен приносить только доход! Все. PS: Ты можешь думать что я один в мире такой, с такой "уникальный" позицией и успокоиться на этом посчитав что угроз нет. - Что ж, твое право (или тупость).
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	55. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+1 +/–
	Сообщение от Аноним (??) on 10-Янв-18, 18:27
	Фу таким быть!
	Ответить \| Правка \| ^ к родителю #48 \| Наверх \| Cообщить модератору


	63. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от Аноним (??) on 10-Янв-18, 21:32
	Куда деваться если борбьа за выживание обязывает? Можешь меня ненавидеть, но нас миллионы. Миллиарды.
	Ответить \| Правка \| ^ к родителю #55 \| Наверх \| Cообщить модератору


	70. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от Алког on 13-Янв-18, 06:05
	> Можешь больше не просить у него пруфы, т.к. прими мои слова за > доказательство: если у меня будет платный сервис, то он до последнего > будет молчать годами в надежде что все забудется и пронесет. Угу. Обворовываемые лохи однако причитать будут... Впрочем конечно кого эти лохи волнуют >:-)
	Ответить \| Правка \| ^ к родителю #48 \| Наверх \| Cообщить модератору


	5. "Инцидент с уязвимостью в сервисе Let's Encrypt"	–1 +/–
	Сообщение от Антонима on 10-Янв-18, 10:16
	пока лодку раскачиваете только вы, вот уже и предсказали вопли "самых умных" касаемо инцидента, как такое может в голову прийти малообразованному человеку, неясно.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	8. "Инцидент с уязвимостью в сервисе Let's Encrypt"	–12 +/–
	Сообщение от anomymous on 10-Янв-18, 10:42
	Зло - бесплатные CA с интервалом обновления 3 месяца.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	9. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+8 +/–
	Сообщение от A.Stahl (ok) on 10-Янв-18, 10:51
	Ну не руками же тебе их обновлять. Скрипт есть.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	18. "Инцидент с уязвимостью в сервисе Let's Encrypt"	–18 +/–
	Сообщение от anomymous on 10-Янв-18, 11:57
	Как бы тебе объяснить: я не доверяю системам, выдающим сертификаты без подтверждения того, что владелец состоит из мяса, кожи, костей и прочих органических субстанций. Хотя бы капчей.
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	22. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+15 +/–
	Сообщение от A.Stahl (ok) on 10-Янв-18, 12:21
	Я не спец во всяких этих сертификатах-секьюриратах, но всегда считал что сертификаты это не про "мясо, кожу и кости", а про соответствие домена и пришедших данных.
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	64. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от jfjfjfj on 10-Янв-18, 21:52
	То есть выдал судебное постановление регистратору - и можешь подменять сертификат пайратбея?
	Ответить \| Правка \| ^ к родителю #22 \| Наверх \| Cообщить модератору


	71. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от Алког on 13-Янв-18, 06:28
	> То есть выдал судебное постановление регистратору - и можешь подменять сертификат пайратбея? И тут внезапно всплывают такие вещи, как легитимность так называемых "судов", коррумпированность и вообще их подмена...
	Ответить \| Правка \| ^ к родителю #64 \| Наверх \| Cообщить модератору


	29. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+3 +/–
	Сообщение от А (??) on 10-Янв-18, 12:28
	> Как бы тебе объяснить: я не доверяю системам, выдающим сертификаты без подтверждения > того, что владелец состоит из мяса, кожи, костей и прочих органических > субстанций. Хотя бы капчей. Т.е. подтверждения владения доменом тебе мало? )) А капчу распознать через сеть живых роботов, если на нейросеть мозгов нет, так трудно, что это прямо подтверждает, что распознавший к домену имеет отношение?
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	35. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от КО on 10-Янв-18, 13:31
	А разве речь идет о владении доменом? Вроде бы достаточно слегка им поуправлять, ну или создать видимость для выдающего сертификат.
	Ответить \| Правка \| ^ к родителю #29 \| Наверх \| Cообщить модератору


	38. "Инцидент с уязвимостью в сервисе Let's Encrypt"	–5 +/–
	Сообщение от . on 10-Янв-18, 13:59
	> Т.е. подтверждения владения доменом тебе мало? )) владение и возможность нагадить на этом домене - разные вещи. Ваш любимый (ибо вы нищeброды и экономите три копейки) халявный помоешник проверяет именно последнее. И, ну надо же, никогда не было, и вот, опять - споткнулся о то, что нагадить, оказывается, можно даже не имея к домену никакого отношения вовсе. А первое - юридическая категория.
	Ответить \| Правка \| ^ к родителю #29 \| Наверх \| Cообщить модератору


	56. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+2 +/–
	Сообщение от Аноним (??) on 10-Янв-18, 18:35
	> подтверждения того, что владелец состоит из мяса, кожи, костей и прочих органических субстанций Защита от регистрации домена ботом — забота регистратора домена и к сертификатам отношения не имеет. Также как наличие/отсутствие "органических субстанций" во владельце никак не связано с его добропорядочностью (во взломщиках, вирусописателях и т.п. этих субстанций не меньше, чем в любом другом человеке).
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	60. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от Аноним (??) on 10-Янв-18, 19:53
	> органических субстанций Ты расист и ксенофоб!
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	20. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+1 +/–
	Сообщение от anomymous on 10-Янв-18, 12:05
	Ну и да, сотни любителей скриптов с этим отключением TLS-SNI challenge уже влетели :)
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	57. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от Аноним (??) on 10-Янв-18, 19:23
	Отлично, минус сотни ботов для ботнетов. Глядишь научатся следить за серверами хоть иногда.
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	58. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от angra (ok) on 10-Янв-18, 19:45
	И как же именно они влетели? Или ты не в курсе, что сертификат можно обновлять не за пять минут до истечения его срока, а за пару недель или даже больше? Так что никаких проблем у подавляющего большинства любителей скриптов за время разбора инцидента не возникнет.
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	66. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от Sw00p aka Jerom on 11-Янв-18, 02:11
	>>можно обновлять обновляешь - по истечению срока, до - отзываеш
	Ответить \| Правка \| ^ к родителю #58 \| Наверх \| Cообщить модератору


	12. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+/–
	Сообщение от Andrey Mitrofanov on 10-Янв-18, 11:10
	> Зло - бесплатные CA с интервалом обновления 3 месяца. У нас есть гордый победитель и первонкс номинации "все самые умные начнут орать". Ура, оскар отдыхает.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	31. "Инцидент с уязвимостью в сервисе Let's Encrypt"	+2 +/–
	Сообщение от А (??) on 10-Янв-18, 12:29
	> Зло - бесплатные CA с интервалом обновления 3 месяца. Зло - ленивые админы. Раз в год они бегают по серверам и меняют серты руками, т.к. скриптом не осилили, а раз в 3 месяца им влом.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору