Heartbleed: Major OpenSSL bug

[boran_blok]

Ik hoop dat je goed oplet in de les .
Dan kan je hier op het Forum eens een goede begrijpbare uitleg schrijven over Heartbleed.
Ik kan natuurlijk alleen over mezelf spreken, maar ik denk dat de meeste mensen geen idee hebben waarover dit eigenlijk gaat .

eigenlijk is die bug de simpliciteit zelve. Ik vindt het eerlijkgezegd frappant/verdacht dat die zolang heeft kunnen bestaan.

relevant xkcd

[ubremoved_539]

Dan kan je hier op het Forum eens een goede begrijpbare uitleg schrijven over Heartbleed.

Ik heb de exploit nog niet in detail bekeken... maar het lijkt me een soort omgekeerde buffer overflow. In plaats van dat je teveel data verzend, ontvang je in dit geval teveel data... en eigenlijk is dat nog dommer dan een klassieke buffer overflow. Waarom zou een funtie namelijk meer data geven dan nodig voor het antwoord naar de client ?

[ITnetadmin]

Blijkbaar zendt de heartbeat een stukje data, en tegelijk ook informatie over de grootte van dat stukje data. De server, die dan dit stukje data terugzendt, baseert zich op de grootte die de client meegaf, verifieert dat niet, en stuurt bij een foutief pakketje dat stukje data terug, gevolgd door extra serverdata.
Basically: somebody trusted the client. Grootste fout die je kan maken.

[ Post made via mobile device ]

[Kenw00t]

Het probleem lag er hem vooral in dat ze zelf per se hun eigen geheugenallocaties wilden schrijven ipv de API's te gebruiken die wel voldoende getest zijn op dit soort klunzigheden. Zie ook: http://article.gmane.org/gmane.os.openbsd.misc/211963