Journal journal bookmark : vers un fork d'OpenSSL ?

Posté par  . Licence CC By‑SA.
Étiquettes :
55
15
avr.
2014

Bonjour Nal,

je t'écris pour te faire part d'un possible fork d'OpenSSL par les développeurs d'OpenBSD qui ont démarré depuis quelques jours un nettoyage complet.

Entre autres :

  • suppression des fonctionnalités heartbeat qui ont conduit au bug de la semaine dernière;
  • suppression de beaucoup de code cryptographique en trop;
  • suppression de wrappers autour de fonctions standard, en particulier pour malloc qui entravait des techniques de mitigation d'exploit

et autres nettoyages divers (cf premier lien), ce qui vu de loin (…)

Revue de presse de l'April pour la semaine 15 de l'année 2014

Posté par  (site web personnel, Mastodon) . Modéré par claudex. Licence CC By‑SA.
Étiquettes :
20
14
avr.
2014
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Journal Heartbleed : petit best of des journalistes

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
70
11
avr.
2014

Aaah, pas facile d'écrire un article sur un sujet aussi technique que le récent bug sur OpenSSL, baptisé Heartbleed, quand on est journaliste généraliste. Forcément, ça donne des erreurs et approximations dans l'article final, ce qui ne manque pas de nous font osciller entre le rire gras et le désespoir, nous, techniciens. Petit tour d'horizon du best of des journalistes sur Heartbleed.

Avant de commencer, notons que je passerai sur les trop nombreuses occurrences de l'adjectif crypté et ses variantes (…)

Nouvelle vulnérabilité dans l’implémentation OpenSSL

Posté par  . Édité par Davy Defaud, Benoît Sibaud, Lucas Bonnet, Bruno Michel et claudex. Modéré par Ontologia. Licence CC By‑SA.
Étiquettes :
86
8
avr.
2014
Sécurité

Une vulnérabilité dans l’implémentation de l’extension heartbeat (RFC 6520) d’OpenSSL a été découverte conjointement par une équipe de chercheurs en sécurité (Riku, Antti and Matti) à Codenomicon et Neel Mehta de Google Securité. On retrouve ici un vieux bogue des familles : le read overrun.

OpenSSL 1.0.1, jusqu’à 1.0.1f inclus, et OpenSSL 1.0.2-beta1 sont affectés. Ce sont les versions utilisées dans la plupart des distributions.

Cette dernière permet la lecture de 64 Kio dans la mémoire des clients et serveurs affectés (mais l’attaque peut être rejouée à chaque heartbeat), autorisant la lecture de données comme les clés privées et, bien sûr, les données échangées une fois ces dernières retrouvées (et ce, même en mode hors ligne s’il n’y avait pas de forward secrecy utilisé).

Il est difficile, voire impossible, de faire une détection post‐mortem d’infiltration, l’attaque ne laissant pas d’entrée suspecte dans le journal système.

Passer à OpenSSL 1.0.1g, redémarrer tous les services utilisant libssl et remplacer l’intégralité de ses certificats (la clef privée étant vulnérable) est donc nécessaire.

Journal Openssl: de battre mon coeur s'est arrété

Posté par  . Licence CC By‑SA.
Étiquettes :
36
8
avr.
2014

Bonjour nal,

Si je prends la plume si précipitamment aujourd'hui, c'est parce qu'il est urgent de t'avertir d'une faille critique dans le code d'une librairie qui t'es chère. En effet, un dépassement de tampon dans l'implémentation Openssl de l'extension "heartbeat" du protocole TLS a été découvert. Je suppose que tu as le coeur brisé par cette nouvelle, mais je t'en supplie, ton sang ne doit faire qu'un tour, et tu dois migrer vers une version sûre, comme la 1.0.1.g.

Forum Programmation.python Chiffrement en python déchiffrement par openssl

Posté par  .
Étiquettes :
1
7
fév.
2012

Hello,

Je souhaite vérifier que le chiffrement python peut être interopérable avec d'autre outils :

#!/usr/bin/python
from Crypto.Cipher import AES
cipher = AES.new("totototototototo")
print cipher.encrypt("tatatototatatoto");

mais quand je tente de déchiffrer la sortie standard avec openssl :

openssl enc -d -aes-128-cbc -k "totototototototo"

Il me retourne un laconique "bad magic number"

Comment faire pour que openssl comprennent python. ?

GnuTLS ajoute le support de DTLS

Posté par  . Modéré par Xavier Teyssier. Licence CC By‑SA.
Étiquettes :
38
12
avr.
2011
C et C++

GnuTLS est une bibliothèque logicielle libre diffusée sous la licence LGPL 2.1 et plus et écrite en C et C++. GnuTLS implémente les protocoles réseau SSL 3.0, TLS 1.0, TLS 1.1 et TLS 1.2. Ceux-là même utilisés par tous les navigateurs web quand vous surfez en HTTPS.

Une version majeure est en cours de développement, elle ajoute une implémentation du protocole DTLS et améliore la compatibilité avec OpenSSL.

OpenSSL 0.9.8 est sorti

Posté par  . Modéré par Amaury.
Étiquettes :
0
6
juil.
2005
Sécurité
La précédente version majeure (0.9.7) datait de fin 2002. Depuis, les sorties de versions mineures concernaient principalement des corrections de bugs et de sécurité. Après que l’évolution des fonctionnalités ait été bloquée et qu’une première version Bêta soit publiée au mois de mai, voici enfin une nouvelle version majeure.

Les changements notables depuis la dernière version majeure sont :
- implémentation du protocole DTLS permettant la sécurisation des échanges par datagrammes (UDP)
- implémentation d’algorithmes de cryptographie par courbe elliptique (ECDH et ECDSA)
- amélioration du traitement des grands nombres
- ajout d'un mini compilateur ASN.1 en ligne de commande
- SHA-1 devient l’algorithme de hachage par défaut à la place de MD5
- support des adresses IPv6 dans les certificats
- support d’architectures 64 bits
- amélioration des performances

Pour ceux qui ne connaissent pas, OpenSSL est un composant de sécurité Open Source intégré dans beaucoup d’applications. Par exemple, Apache l’utilise pour les connexions sécurisées du type https ; on peut encore citer OpenSSH, OpenPGP, OpenCA, Samba, Bind, Sendmail, Postfix, QMail...