A весь интернет стоит сейчас на ушах

[Waterbyte]

The Canada Revenue Agency will push back the tax deadline to May 5 instead of April 30, to make up for the days when the security risk shuttered their website.

с паршивой овцы - хоть шерсти клок...

[Marmot]

Поймали пацана http://www.theglobeandmail.com/news/nat ... e18041007/

[JuliaR]

Поймали пацана http://www.theglobeandmail.com/news/nat ... e18041007/

Вот молодцы какие!

[borei]

Я то прочитал и понял, ты тоже прочитал, а вот понял ли?

ок, я все понял, все кругом дураки, один Стасик умный

What leaks in practice?

We have tested some of our own services from attacker's perspective. We attacked ourselves from outside, without leaving a trace. Without using any privileged information or credentials we were able steal from ourselves the secret keys used for our X.509 certificates, user names and passwords, instant messages, emails and business critical documents and communication.

Ну а теперь скажи - какие именно secret keys? Их там три разных вида...

тебе же сказали, те, на которые сделаны сертификаты.
Т.е. тот, у кого есть такой ключик может "слушать" все разговоры с тем сайтом, с которого ключек украден. Даже не MITM, просто на ethernet-e (или открытом Wi-Fi) сидеть и пакетики расшифровывать...

http://www.theglobeandmail.com/technolo ... e17892916/

Хм... тот ключ "на который сделан сертификат" не используется для шифрования.
Для шифрования используется мастер ки (да, его можно перехватить), который (сюрпрайз!) генерируется при каждой новой HTTPS сессии...
Ф переводе на русский язык - флаг тибе ф руки сидеть и пакетики расшифровывать.

Во как. Я как-то баловался со всей этой фигней. Импортировал private-key в wireshark, и проснифил траффик - перхватил пароли. Там штука такая - если алгоритм шифрования DH-based - то нифига не получиться. cipher-suit надо смотреть что на сервеке сконфигурирован.
Ну а в общем - да пороли увести можно.

[Marmot]

Во как. Я как-то баловался со всей этой фигней. Импортировал private-key в wireshark, и проснифил траффик - перхватил пароли. Там штука такая - если алгоритм шифрования DH-based - то нифига не получиться. cipher-suit надо смотреть что на сервеке сконфигурирован.
Ну а в общем - да пороли увести можно.

при наличии private-key, при MITM, DH не поможет...

[AlexeyUat]

При чем тут MITM перехват трафиков и перехват keys? Вот положа руку на сердце по простому по рабоче-крестьянски кто-нибудь из вас разобрался как эта уязвимость работает? Судя по тому в какие дебри вы идете - никто.

[Marmot]

При чем тут MITM перехват трафиков и перехват keys? Вот положа руку на сердце по простому по рабоче-крестьянски кто-нибудь из вас разобрался как эта уязвимость работает? Судя по тому в какие дебри вы идете - никто.

Я даже не разбирался, и так все знаю Как прочитал, так и сразу все стало понятно
Читайте спеки, там все написано...

Про ключи и MITM: если есть ключик, то слегка xакнув DNS, можно сделать четкий MITM...
Без MITM, только на прослушке, гарантии что вы все прочитаете нет, по причине наличия вышеупомянутых DH ciphersuites.

[AlexeyUat]

При чем тут MITM перехват трафиков и перехват keys? Вот положа руку на сердце по простому по рабоче-крестьянски кто-нибудь из вас разобрался как эта уязвимость работает? Судя по тому в какие дебри вы идете - никто.

Я даже не разбирался, и так все знаю Как прочитал, так и сразу все стало понятно
Читайте спеки, там все написано...

Про ключи и MITM: если есть ключик, то слегка xакнув DNS, можно сделать четкий MITM...
Без MITM, только на прослушке, гарантии что вы все прочитаете нет, по причине наличия вышеупомянутых DH ciphersuites.

То что ты сейчас описываешь никакого отношения к heartbleed не имеет.

[Marmot]

При чем тут MITM перехват трафиков и перехват keys? Вот положа руку на сердце по простому по рабоче-крестьянски кто-нибудь из вас разобрался как эта уязвимость работает? Судя по тому в какие дебри вы идете - никто.

Я даже не разбирался, и так все знаю Как прочитал, так и сразу все стало понятно
Читайте спеки, там все написано...

Про ключи и MITM: если есть ключик, то слегка xакнув DNS, можно сделать четкий MITM...
Без MITM, только на прослушке, гарантии что вы все прочитаете нет, по причине наличия вышеупомянутых DH ciphersuites.

То что ты сейчас описываешь никакого отношения к heartbleed не имеет.

Возможость захвата чужих private keys, это одна из самых главных проблем heartbleed-а...
Именно после этого и начинается самое интересное...

Или тут кто-то еще не понял как это heartbleed конкретно работает? И как можно вытащить ключики?

[AlexeyUat]

Опиши просто без затей в три строки как можно вытащить ключики? Как только ты поймешь как это работает, ты поймешь что вы обсуждали совершенно не то.

[Marmot]

Опиши просто без затей в три строки как можно вытащить ключики? Как только ты поймешь как это работает, ты поймешь что вы обсуждали совершенно не то.

Вот наш человек по имени Федя, все четко описал, как он на этом денежку заработал: https://blog.indutny.com/9.heartbleed
А обсуждали мы не сам heartbleed, а именное его последствия, что в целом и так легко понять, владея русским языком...

[borei]

Во как. Я как-то баловался со всей этой фигней. Импортировал private-key в wireshark, и проснифил траффик - перхватил пароли. Там штука такая - если алгоритм шифрования DH-based - то нифига не получиться. cipher-suit надо смотреть что на сервеке сконфигурирован.
Ну а в общем - да пороли увести можно.

при наличии private-key, при MITM, DH не поможет...

Ну блин какой DH при такой схеме - трафик-то на твоей (MITM) тачке терминируется. Тут уж сушите весла господа.

[borei]

При чем тут MITM перехват трафиков и перехват keys? Вот положа руку на сердце по простому по рабоче-крестьянски кто-нибудь из вас разобрался как эта уязвимость работает? Судя по тому в какие дебри вы идете - никто.

Я даже не разбирался, и так все знаю Как прочитал, так и сразу все стало понятно
Читайте спеки, там все написано...

Про ключи и MITM: если есть ключик, то слегка xакнув DNS, можно сделать четкий MITM...
Без MITM, только на прослушке, гарантии что вы все прочитаете нет, по причине наличия вышеупомянутых DH ciphersuites.

То что ты сейчас описываешь никакого отношения к heartbleed не имеет.

А описан уже следующий шаг после получения ключа посредством heartbleed.

[Marmot]

Во как. Я как-то баловался со всей этой фигней. Импортировал private-key в wireshark, и проснифил траффик - перхватил пароли. Там штука такая - если алгоритм шифрования DH-based - то нифига не получиться. cipher-suit надо смотреть что на сервеке сконфигурирован.
Ну а в общем - да пороли увести можно.

при наличии private-key, при MITM, DH не поможет...

Ну блин какой DH при такой схеме - трафик-то на твоей (MITM) тачке терминируется. Тут уж сушите весла господа.

Ну да, и я о том же ... главное - ключик увести...

[mrskhris]

При чем тут MITM перехват трафиков и перехват keys? Вот положа руку на сердце по простому по рабоче-крестьянски кто-нибудь из вас разобрался как эта уязвимость работает? Судя по тому в какие дебри вы идете - никто.

Зачем разбираться? На xkcd все очень доходчиво нарисовали: