双椭圆曲线确定性随机比特生成器（Dual EC DRBG）普遍被认为被NSA植入了后门，Dual EC DRBG是加密标准SP800-90A的一部分，而SP800-90A则是美国政府FIPS 140-2安全认证强制推广的加密标准。 也就是说，一个加密库如果 ...
2014-01-10 14:34
OpenSSL v1.0.1到1.0.1f中发现了一个非常严重bug（CVE-2014-0160），该bug允许攻击者读取存在bug的系统的64kb处理内存，暴露加密流量的密钥，用户的名字和密码，以及访问的内容。攻击者可以利用该bug窃听通信，直接从服务和用户窃取数据。 OpenSSL已经发布了1.0.1g修正bug，Debian发行版也在半小时修复了bug，Fedora发布了一个权宜的修正方案。该bug是在2011年引入到OpenSSL中，使用OpenSSL 0.9.8的发行版不受影响。受到影响的操作系统如下： Debian Wheezy (stable), OpenSSL 1.0.1e-2+deb7u4 Ubuntu 12.04.4 LTS, OpenSSL 1.0.1-4ubun
2014-04-08 12:36
全世界有无数公司依赖于开源加密库OpenSSL，其中不乏思科和雅虎这样的科技巨头。但如此重要的一个项目它每年获得的捐款却是少的可怜，连一名美国普通程序员的薪水都支付不起。 OpenSSL软件基金会董事长兼联合创始人Steve Marquess在邮件列表上透露， OpenSSL项目通常一年只收到2000美元捐款。 本周公开的Heartbleed高危漏洞增加了OpenSSL的曝光度，基金会收到了约200次捐款，总额约3000美元，捐款金额从0.02到300美元不等，其中有人多次捐款。他表示，所有的捐款将直接提供给OpenSSL项目团队。 via ：http://www.solidot.org/story?sid=3
2014-04-12 20:25
什么是SSL？ SSL是一种流行的加密技术，可以保护用户通过互联网传输的隐私信息。当用户访问Gmail.com等安全网站时，就会在URL地址旁看到一个锁，表明你在该网站上的通讯信息都被加密。 这个锁表明，第三方无法读取你与该网站之间的任何通讯信息。在后台，通过SSL加密的数据只有接收者才能解密。如果不法分子监听了用户的对话，也只能看到一串随机字符串，而无法了解电子邮件、Facebook帖子、信用卡账号或其他隐私信息的具体内容。 SSL最早在1994年由网景推出，1990年代以来已经被所有主流浏览器采纳。最近几年，很多大型
2014-04-09 21:12
OpenBSD创始人Theo de Raadt创建了OpenSSL分支LibreSSL，在解释另起炉灶而不是帮助改进OpenSSL的原因时，他说OpenSSL现有的代码一团糟，我们的团队在一周内从OpenSSL源码树移除了半数代码，都是一些应该丢弃的东西。 他进一步说，开源开发模式所仰仗的是人们能阅读代码，而代码必须清晰。OpenSSL的代码库一点都不清晰，因为他们的社区不关心代码是否清晰。这儿存在文化代沟。他指出，OpenSSL的源码中包含了大量过时的代码，如数千行VMS支持代码，数千行WIN32支持代码，数千行弱化加密的FIPS支持代码。De Raadt说他的团队移除了9万行代码
2014-04-23 23:09
自由软件基金会（FSF）就最近曝光的OpenSSL高危漏洞发表声明，认为使用自由软件如OpenSSL是确保计算机、服务器和整个网络安全必要的第一步。 自由软件让用户能检查源代码，发现漏洞，开发出新的更安全的版本。像Heartbleed这类影响广泛的大漏洞会在任何代码上发生，无论是自由软件还是私有软件。差别在于，如微软的私有软件只有微软自己能查看源代码，在发现问题时修正，这不可能真正建立起信任链，因为在微软采取行动前每个人只能束手无策。前NSA合同工 Edward Snowden提供的机密文件显示，微软在没有修正前与NSA分享了bug情报。 via ：
2014-04-09 21:40
安全软件OpenSSL最近爆出名为心脏流血的重大安全漏洞，波及大量的网站，震惊了整个业界。而苹果则称旗下的iOS和OS X系统及服务均未受影响，那它究竟是如何躲过这一劫的呢？美国科技博客AppleInsider近日发布文章揭秘背后的故事。 以下是文章主要内容： 2011年，苹果告诉开发者，它将弃用包括OpenSSL在内的OS X通用数据安全架构（以下简称CDSA）。它称OpenSSL已经不合时宜。近三年后，OpenSSL被发现存在重大安全漏洞，大量的服务提供商及其用户遭受影响，而苹果则安然无事。 Heartbleed 苹果2011年6月宣布放弃使用OpenSSL的计划时，它并不
2014-04-19 19:44
OpenBSD创建了OpenSSL分支LibreSSL。 开发者表示，他们正忙碌着删除和重写OpenSSL，LibreSSL的主页因此非常简陋。LibreSSL现阶段只支持OpenBSD，在项目稳定之后 会考虑加入多平台支持，开发者宣称我们不想要伤透你们的心。 在OpenSSL的高危漏洞Heartbleed曝光之后，OpenBSD项目发起了清理 OpenSSL代码的行动，目前开发非常活跃。 OpenSSL采用的是Apache License 1.0 和4-clause BSD License，可以自由的创建分支。
2014-04-22 21:23
OpenSuSE社区收到关于最近因为OpenSSL heartbleed漏洞的修复关于padding扩展代码的改动导致IronPort SMTP服务器出现异常阻断的bug报告。OpenSSL 1.0.1g不仅仅是修复了heartbleed漏洞，而且也增加了一些padding扩展的改动： #define TLSEXT_TYPE_padding 21 这直接导致SSL链接出错(至少在Ironports的设备上): SSL23_GET_SERVER_HELLO:tlsv1 alert decode error Padding扩展只会在ClientHello的长度在256---511字节之间时使用，理论上讲，削减ciphersuite到256字节以内可以是临时解决方案之一，或者是强制使用SSLv3，或者把上面的改动剔除并
2014-05-03 12:26
在OpenSSL的高危漏洞Heartbleed曝光之后，鉴于OpenSSL项目人手短缺反应迟钝，下游的OpenBSD项目发起了清理OpenSSL代码的行动，准备以OpenBSD的安全标准去移除和替换OpenSSL中的不安全代码。 OpenBSD的行动是独立发起的，并没有获得OpenSSL项目的配合，它也没有说明是否会将新代码递交到上游的OpenSSL。短短一周时间，OpenBSD项目开发者已经递交了超过250个补丁。
2014-04-22 09:42 linux
分享到微信
打开微信，点击顶部的“╋”，
使用“扫一扫”将网页分享至微信。
标签: