Názory k článku Jak na OpenSSL 3

Takze zaruky mam stejne tj. zadne :-)

Pouze snizim pravdepodobnost rizika, ale kdyz se kouknu treba na jiz zminovany amazon.com tak s klidnym svedomim klidne OpenSSl pouziju. Myslite si, ze v tech spolecnostech pracuji idioti a Vy jste snedl moudrost sveta?
Ad lepsi/horsi. Vzdy si vzpomenu na boj lepsiho formatu beta-8 s VHS a kde ted mate tu betu? :-)

Pracuji tam JEN uzivatele produktu, ktere vytvorime my a dalsi kryptograficke firmy. Umeji je pouzivat, ale ne implementovat, natoz aby rozumeli logice za tim. Tim mate odpoved.

Jeste k tomu amazonu. Akorat jsem se ptal naseho obchodniho oddeleni a pravdepodobne amazon bude nas dalsi klient. Tedy Amazon jiz je, ale ne pro webservery (Baltimore jim dodava zabezpeceni site a taky "zelezne" sifrovani). Ale jak jsem se dozvedel, asi budou minimalne nyni v pilotu pouzivat nas produkt. A to prave v reakci na exploity OpenSSL. TO jen k Vami zminenemu komentari o Amazonu ;)

chtel jsem tim rict jen jedno, asi jsi to nepochopil:-) mlzis, mlzis a mlzis.. :-) ty jsi zhruba jako zpravy o ufo, jedna pani povidala... argumentujes tu tak, ze si to ostatni nemuzou overit (jiste to je vec obchodniho tajemstvi ze:-), a tutiz muzes kecat jak chces a co chces a nikdo ti na to nemuze ani pipout. Jestli ses z mkrvosoftu tak ti muzu rict, ze me fakt vase produkty serou, ted se treba nemuzu pripojit na nejmenovany server ktery pouziva nemenovany webserver, takze diky tomu zitra valim s tezky kufrem nekolik km pesky, to se teda fakt tesim, takze prestan kecat picoviny a zacni uz konecne neco rozumnyho delat!!!!!!

TOhle nemusim komentovat. Sam jste se projevil jako hulvat.

Nerekl bych, ze se projevujete lepe. Pusobite na mne jako arogantní b*b.

A amazon.com je podle vas chat kde se lidi bavi o pocasi a proto si muze dovolit pouziva OpenSSL?

OpenSSL pouziva i mnoho velkych firem, ale to nema co delat s tim, ze to rozhodnuti je spravne. Stejne jako mnoho lidi pouziva k placeni po netu kreditni karty, tak to neznamena, ze kdyz to dela vetsina, ze je to bezpecne.

Jak jsem jiz psal. Dokazte prakticky, ze OpenSSL je spatne jinak je to samy FUD.

A jak byste si takovy dukaz predstavoval? POkud byste chtel nejakou analyzu, tak tu pripravuji a mozna vyjde na nekterem anglickem serveru na konci kvetka (je to analyza a frekvenci vyskytu exploity v ruznych implementacich a jejich prioritni ohrozeni klienta). POkud budete chtit neco hned, tak nebudte hloupy a podivejte se na google a najdete si pdfka se popsanymi exploity a mozna, ze najdete i nejake statistiky (na CERTu je treba tento starsi link, ze novejsi neznam, ale pokud nebudete demagog a liny, najdete si dalsi: http://www.cert.org/advisories/CA-2002-23.html). Je to jen zaklad pro dalsi rozbor tech chyb.
A pokud jste tak dobry, tak mi napr. odpovezte na to, proc OpenSSL neimplementovalo (az do brezna 03) korektne PKCS1ver1.5? A proc nekotrolovalo verzi oracle a to byl pak duvod k pruniku do SSL a ziskani privatniho klice? A kdyz se podivate, tak tech uprav tam museli udelat hodne, ptz se spolehali na default chovani (pochopitelne abych byl korektni, tak je to i chyba RSA, ktere striktne nepopisuje, ze tohle je treba pro implementaci handshaku pozadovani, jako je treba ta kontrola verzi, ale jine firmy to maji a proc ne OpenSSL?)

Jinak jeste malicko nacrtnu, kde se daji hned u OpenSSL videt problemy:
Jeden z moznych utoku, jak jiz jsem naznacil se muze tykat dvou kombinaci s tzv. "key freshness", tedy jednoducheho exponentu a pak k tomu pridany utok
V pripade jednoducheho exponentu to muzete pro zjednodusenost videt tak, ze kdyz mate dva zaklady exponentu (privatni a verejny klic) jako x a y, kdy rekneme x=1, potom pro vas bude snadne odvodit, ze g na x je rovno g a z toho pak lze rychle vypocitat jednu z casti toho retezce. A zde pak zalezi na implementaci, jak se s exponenty pracuje, jak se generuji a jak se ukladaji. A to ma OpenSSL reseno spatne (open je zde pouzity nestandardni postup, ktery neurcuje ani RSA a dokonce byl kritizovan i v jednom dokumentu NSA, zel ten link ted nevim).
TOhle pak v kombinaci s druhym utok (tedy obnovovani klicu) je zcela kriticke (jak vyplyva z toho dokumentu: http://crypto.cs.mcgill.ca/~stiglic/Papers/dhfull.pdf). A zde je implementace OSSL nestandardni a diky tomu je zde mozne provest mnoho utoku v dokumentu popsanych.
Jinak tohle by bylo na dlouhou analyzu, ale pokud nebudete bridil, tak si to projdete.

Petre,
Vy jste tak trochu mimo misu.
Zejmena v ohledu vyzdvihovani
krachujici firmy Baltimore a
naivnich iluzich o produktech M$

chtel jsem tim rict jen jedno, asi jsi to nepochopil:-) mlzis, mlzis a mlzis.. :-) ty jsi zhruba jako zpravy o ufo, jedna pani povidala... argumentujes tu tak, ze si to ostatni nemuzou overit (jiste to je vec obchodniho tajemstvi ze:-), a tutiz muzes kecat jak chces a co chces a nikdo ti na to nemuze ani pipout. Jestli ses z mkrvosoftu tak ti muzu rict, ze me fakt vase produkty serou, ted se treba nemuzu pripojit na nejmenovany server ktery pouziva nemenovany webserver, takze diky tomu zitra valim s tezky kufrem nekolik km pesky, to se teda fakt tesim, takze prestan kecat picoviny a zacni uz konecne neco rozumnyho delat!!!!!!

Kdyz se tak duverne znate s matematickou spickou jiste pro Vas nebude problem dokazat nam jaky je OpenSSL bes a des. Napriklad tim, ze ziskate data chranena protokolem https, co rikate? Ze nemate cas? ;-))

Ja se s nimi znam, ale ROZHODNE mezi ne nepatrim, sice v kryptografii delam skoro 15 let, ale nejsem rozhodne tahle spicka, jako tito panove, jak jsem zminil pan Schneier, Diffie atd.
Patrim mezi ty, co nakonec implementuji jejich vyzkum. A ziskat ty data nemusi byt az takovy problem. Je k tomu znama dokonce jedna referencni implementace, tedy ne pro SSL, ale TLS.

http://omen.vuagnoux.com/

TO je pak i pro takove BFU jako jsou zde mnoho pritomnych prispevovatelu. Sice musite mit starsi verzi, ptz pochopitelne to je jiz fixovano, ale muzete si vyzkouset, jak je mozne rychle prolomit TLS a ziskat tak sifrovany pristup k mailum vasich kolegu.

Jinak tyhle komentare, ktere maji byt radoby rozumne, jsou jen ukazkou toho, jak si hurvinek predstavuje valku, tedy ze exploity se delaji na objednavku. Trochu se naucte mene flamewarovat a vice neco vedet.

Jak sam pisete, uz je to opraveno tudiz je to irelevantni.
Exploity se delaji i na objednavku ;-) Ja po Vas, ale nechtel exploit, ale dukaz pro Vase tvrzeni, ze OpenSSL je tak hrozne, ze ho prolomite za 5 minut a Vase implementace vydrzi vecne :-)
A spis se mi zda, ze pracujete v marketingu :-)))

Jste obycejny hlupacek a demagog, jak jiz plyne z prvniho vaseho prispevku. Nerekl jsem, ze nase reseni je neprolomitelne. To neni zadne reseni, pokud nenadefinujete nekonecne velke prirozene cislo. Pak ano.
A tyhle kecy uz nemaji cenu. Vubec nerozumite kryptografii a nenapsal jste JEDINY odborny argument o kvalite/nekvalite kterehokoliv produktu, treba i naseho nebo OpenSSL.

Ehm... coze si to rikal o te demagogii?

Jinak jeste doplneni a to k tomu, ze zjevne vubec nemate prehled, co se v kryptografii deje. Je to sice fixovano, ale je mozne cekat variace na tento typ utoku. Je to problem utoku zalozeny na Bleichenbacherove metode. Takze TATO konrektni implementace je fixovana, ale jsou zde otevrene moznosti pro dalsi modifikace tohoto utoku. Doporucuji Vam precit si neco o "channel attacks" a "timing attacks"

Tady je prave doporuceni, jak na tento exploit reagovat a jak zminuje tato prestizni firma (firma Bruce Schneiera), tak se jedna o pravdepodobne opakovatelny utok a je nutne ho fixovat koncepcne, ne pouze tento jeden.
http://www.counterpane.com/alert-v20020731001.html

Peto, experte pres SSL, nauc se psat cesky.

kolisko

ja bych predevsim opravil chybY v gramatice... :D

To s Vami naprosto souhlasim. Ale tohle je spise otazka volnosti prace s tim algoritmem, kdy tohle je take dulezite, ptz pak je mozne ho menit podle rozvoje kryptologie. To u RSA muze delat jen RSA a to neni dobre. ALe jak jsem napsal, resenim tohoto problemu redundance je az ECC, ktere ja osobne prosazuji nejvice ;)

A ad RSA) No podle sve zkusenosti se nemylim. My jsme implementovali SSL a komunikovali jsme o patentove ochrane s RSA. A bylo nam receno, ze pokud to chceme prodavat a pokud nemame rozlobit vedeni RSA, mame si tu licenci koupit. Nevim tedy jiste, ze by nas zazalovali, ale tahle odpoved nas nakonec dovedla k tomu, ze je lepsi se vyhnout pripadnym tahanicim u soudu a zaplatili jsme nemaly peniz. Kazdopadne to nemohu tvrdit s urcitosti, ale nemuzete se divit memu zaveru po teto zkusenosti.

Skoda, ze vystupujete anonymne a nelze vam napsat, podle toho co pisete ve vsech prispevcich, jste odbornik na sifrovani a urcite by bylo zajimave, kdybyste sve poznatky k problematice OpenSSL shrnul do uceleneho clanku. Mate-li zajem, ozvete se.

Dobre, me vyjde muj clanek brzy mozna na nejakem serveru v UK, zatim jednam se 3, tak se uvidi. Ale potom bych to mohl prelozit do cestiny a publikovat to u Vas. Je to porovnani ruznych exploitu a popis jejich vyznamu a analyza. Ale je to dooost hutne cteni :))) Nevim, jestli by to bylo pro root. Napsal jsem, ze sice nejsem matematicky genius, coz nejsem, to skutecne lidem jako Deffie se rovnat nemuzu ani malicko. Ale preci jen tento clanek dost matematikou oplyva. Takze si nejsem jist, jestli by to bylo pro Vas. :)))

Prilisne odbornosti clanku bych se nebal, nasi ctenari nejsou blbci :)
Napiste a probereme to pak privatne.

pise se rok 2011, skoro jiz 2012 a clanek od anonymniho Petra jsem doposud necetl... musim se ja idiot naucit hledat na stryckovi googlovi... nebo prijdu o kvalini a hutne ctivo...

Souhlasim s Honzou. A pokud chcete takovou skolu, vyberte si ji. Ja studoval v USA na MIT a platil jsem si to sam. A vubec nelituji teto investice, i kdyz me to stalo mnoho penez a mnoho let po skole jsem je jeste splacel.
Je to jen dobre, budou-li studenti motivovani a stav, co je v Cechach je krajne nezdravy. Ale to je v cele Evrope a jednou EU na ten socialismus dojede. Nemate tam zadne penize a chce mit vsechno zadarmo :)) To je fakt logika. Naopak pokud se podivam do USA, tak ty nejlepsi skoly a univerzity jsou ty placene a VELMI tvrde placene. Naopak ty zdarma jsou ty statni pro lidi, co maji minimalni kvalifikaci, proste takove ty colleege apod. Zavedte skolne a zvysi se i v CR kvalita studia a kvalita studentu. Zatim co se i k nam hlasili z CR, tak to byla bida.

Vy jste se asi zblaznil ne??? Mohuli to hodnotit ze sveho oboru, tak prave napr. teoreticka matematika musi zustat zcela mimo a mimo komercni tlaky a zajmy. Jinak uz to neni veda, ale mluvime o aplikovanem inzenyrstvi. Clovece, vy vubec nevite o cem mluvite!
Vedec, pokud dela svoji praci poctive, nema cas na to, aby jeste se zajimal o nejaky business. Napr. na MIT to funguje tak, ze vedci MAXIMALNE obihaji ruzne charity a sponzory a prosi o prispevek na jejich vyzkum. A to proto, ze behem toho vyzkumu nemaji cas se venovat necemu jinemu, coz je jasne. Skutecne nechapu, jak nekdo muze napsat takovou kravinu, co vy!

No myslim,ze to velmi ale fakt velmi prehanate. Viem o kopu vedeckych pracovnikov, ktori si svojim vyskumom zarabaju. Ked je to vyskum dobry, tak sa najdu organizacie ktore radi do toho daju peniaze. Mozte prist do Prahy na fakultu jadernu a spytat sa na katedre fyzykalnej elektorniky skadial maju peniaze :O))

Na ten nesouhlas mate pochopitelne pravo. Ale Vase jednoznacne zavery jsou podle mne ukvapene.

Pochopitelne ta analogie, co se tyka algoritmu, muze byt pravdiva, ale jen v te obecne rovine, ne v praxi a to ze zcela prosteho duvodu.
Abyste rozumel samotnemu algoritmu a mohl jste ho dokonce i nabourat, tak musite napr. spickove ovladat teorii cisel, musite presne umet rozebrat Fermatuv teorem atd. A to bych nerekl, ze umi mnoho lidi. U nas na MFF UK tohle zvladno jen par studentu a matematicke katedry a to jeste to byl pripad tech nejnadanejsich. Nejsem si jist, ze by toto zvladl jen tak nekdo :-) V pripade implementace snizujete tu narocnost o uroven nize. Zde jiz nemusi rozumet tolik matematickemu pozadi, muze znat sifrovani, ale nemusi to byt matematik a muze hledat chyby v implementaci (klasicke buffer overflow utoky nejsou vubec nutne znalosti matematiky, jen programovani a to je veeeeelmi snadne).
V pripade ochrany kodu se tomu rika obfuskace a tohle je podobny pristup. Vy pouze snizujete pravdepodobnost pruniku, ptz snizite velikost cilove skupiny, na kterou se to vaze, tedy spickovych matematiku bude vzdy radove mene, nez spickovych programatoru (aniz bych nekoho chtel urazit, ale to je statisticky fakt, spickovy programator muze byt stredoskolsky student, ale matimatik s vysokou pravdepodobnosti ne).

S tim bych souhlasil. Ale na hledani buffer overrunu nemusim znat zdrojovy kod. Viz _mnohe_ priklady uspesne vyuzitich BO bez znalosti kodu (napr. IIS).

IMHO tim ze zverejnim zdrojovy kod zvysim sanci, ze ho bude studovat i "White Hat". Aplikace bez zdrojoveho kodu se vetsinou pokousi nabourat spise "Black Hat", protoze ostatnim to nestoji za tu mravenci praci.

Zdravim. No jak se mi zda, preci jen mate neprofesionalni pohled (bez urazky).
Jen par komentaru:
1) OSS systemy trpi vyrazne vice exploity, coz lze snadno prokazat a nase firma to ma v umyslu, ptz jsme pripravili spolecne s CERN prehled bezpecnostnich exploitu a ten hodlame publikovat. A OSS systemy maji radove vyssi vyskyt uspesnych pruniku, nez uzavrene. Napr. v pripade nasich implementaci, nezaznamenal doposud jediny klient uspesny utok, pouze se jednalo o DoS a podobne typy utoku na zablokovani systemu, ale ani jeden skutecny prunik.

2) Pan Honza to popsal presne. Ani nahodou nelze srovnavat matematickou algoritmizaci s implementaci. To je uplne o necem jinem. Matematicka algoritmizace je stavena tak, aby mela "neomezenou" zivotnost, kdezto implementace trpi v KAZDE verzi potencionalnimi chybami bez ohledu na opravy. A proto je zcela nesmyslne srovnavat zverejneni algoritmu s implementaci, jsou to hrusky a jablka.

Vy se na to nedivate jako profesional na bezpecnost, ale jako obhajce nejake ideologie, co se snazite prosazovat a to je spatne. Nedovedu si predstavit, ze by napr. armada zverejnila sve zdrojove kody systemu, co pouzivat, to je naopak predmetem silne spionazni aktivity a kdy se to podari ziskat,je to obrovsky uspech. A vite proc? Protoze je pak nesmirne snazsi proniknout do systemu. A tim mate odpoved.
Nevidim PRINCIPIELNI duvod, proc bych mel pristupovat jinak k armade a nebo napr. k e-shopu, kde jsou jakakoliv data. Stejne tak i k mailu apod. Chci je drzet zabezpecena. Budu se tedy snazit jednat jako armada, a to proto, ze tento model predstavuje nejvyssi moznou uroven zabezpeceni a pochopitelne nebudu kupovat tak drahe systemy, ale budu kopirovat, jak napsal Honza "design patterny"! A jednim z techto vzoru chovani je i utajeni kodu!
Muzete i videt, ze prave Vami zminovane OpenSSL trpi nesmirne pruniky a napr. pan Klima jasne zminil, ze jejich prunik do systemu na zaklade OpenSSL byl mozny diky tomu, ze meli zdrojove kody. U ostatnich systemu s uzarenym kodem to nedokazali, a jak napsal pan Klima bylo to proto, ze tohle by bylo pomerne obtizne zjistovat.

Nechapu, jak muzete postavit ideologii (tedy OSS) nad bezpecnost. Pokud chcete psat o bezpecnosti, zbavte se ideologie. Jinak je to jen propaganda.

Nerekl bych ze prosazuji ideologii. Spise prosazuji svuj odborny nazor, tak jako Vy prosazujete svuj ("hodlame prokazat ze..."). Na tom ale nevidim nic neprofesionalniho. Muj nazor vychazi z mych zkusenosti a Vas zase z Vasich. Ja vidim, ze "security through obscurity" funguje u jednotlivych instalaci (armada) ale uz nikoli u siroce rozsirenych SW. U toho armadniho je totiz problem nejenom ziskat zdrojove kody, ale take vubec ziskat pristup k tomu SW.

Abyste mne chapal - ted se nebavim jenom o SSL implementacich. V tom mozna mate pravdu. Ja ted mam na mysli vsechny komponenty systemu, ktere je mozno exploitovat.

Jiny pristup: Jednim z pravidel bezpecnosti je, ze je nesmysl chranit data vetsimi naklady, nez je jejich cena. Data armady maji zajiste vetsi cenu, nez data e-shopu. Takze e-shop sice muzete mit super zabezpeceny, ale ve vysledku na tom tratite, protoze by bylo levnejsi udelat zabezpeceni mene kvalitni, zato vsak levnejsi a smirit se se zbytkovym rizikem.

Ad poznamka pana Klimy: Predpokladejme, ze podobna chyba existuje v XYZ SSL, ktere ale kvuli nedostupnosti zdrojovych kodu nezkoumal. Ted je ale otazka - co je bezpecnejsi? OpenSSL, ve kterem je chyba opravena, nebo XYZ SSL, kde stale je ale nikdo o ni (verejne) nevi? Z toho co pisete bych usuzoval, ze podle vas XYZ SSL, ja mam vsak opacny nazor.

Ja s Vami v podstate souhlasim, a kdyz si vsimnete, je mezi nami paralela. Pouze jeste k poslednimu bodu. Mohu rici, jak toto resi velke firmy, se kterymi my spolupracujeme (jako RSA, Microsoft, IBM) a take i nase firma.
Co se tyka Bleichenbachera, tak tato chyba se nasich produktu tyka, ale to je koncepcni problem PKCS1ver1.5. Proto se pripravuje urcite "generacni posun", ktery je naplanovan na release asi za rok (u vsech techto firem).
Co se tyka toho exploitu, tak si prosim precte ten dokument. Ani nahodou se netyka nasich produktu, nebo MS SSL nebo produktu RSA. A to proto, ze tyto firmy se striktne ridi doporucenymi "patterny" s ohledem na implementaci PKCS1. A sem patri i kontrola verze oracle, coz prave OpenSSL nedela (nechova se podle doporuceni RSA, az nyni, co je prunik pana Klimy k tomu prinutil). To jen na vysvetleno, ze se to neda kamuflovat, ze kdyz je to otevrene, ze je to fixovane. Naopak, ten tym to spatne neimplementoval a opravila se tato velmi hruba chyba OpenSSL. Jine firmy, co investuji do svych testovacich laboratori kontroluji s RSA prave dodrzovani doporuceni RSA. Proto tam ten problem neni. Ale je pravda, ze UPLNE vsechny implementace budou korektni az po opusteni PKCS1ver1.5, coz ale neni tak trialni a je nutne po "posvetit" RSA, ktere na to ma licenci a musi to odsouhlasit.