Heartbleed

Anzeige

AW: Heartbleed

Ändert an den Problem nichts.

 

AW: Heartbleed

Und hier kommt schon die nächste Watschn für Freunde "sicherer" Open-Source-Software:

"Die zwei Experten von iSec geben in ihrem Bericht zu Protokoll, dass sie keine vorsätzlich eingebaute Hintertür oder Bugs in dem von ihnen getesteten Code finden konnten. Alle entdeckten Probleme sähen nach unbeabsichtigten Fehlern aus.
[...]
Insgesamt entdeckten die Forscher 11 Schwachstellen. Die gravierendste davon betrifft die Verschlüsselung der Volume Header. Diese benutzt die PBKDF2-Funktion, um aus dem Passwort für das Volume den Schlüssel für die verschlüsselten Daten abzuleiten.
[...]
Die Sicherheitsforscher bemängeln aber auch die allgemeine Qualität des TrueCrypt-Quellcodes. Er sei schlecht kommentiert und nutze zum Teil unsichere und überholte Funktionen. Sie monieren ebenfalls die mangelnde Konsistenz der Variablen-Namen. Alles dies erschwere die Aufgabe unabhängiger Tester und mache es umso schwerer für neue Entwickler, sich in die Funktionsweise des Codes einzuarbeiten."

TrueCrypt geprüft: Keine Backdoor, laxe Programmierstandards | heise online

All das wundert mich nicht im geringsten. Das sind alles logische und nachvollziehbare Folgen, wenn viele Köche an einem Brei kochen, es aber keine wirkliche Kontrollinstanz gibt. Denn das ist das Hauptproblem bei Open Source.

 

AW: Heartbleed

"Auf die Frage, warum OpenBSD mit dem Fork LibreSSL von vorn anfange, anstatt die Fehler in OpenSSL zu beheben, antwortete der Projektleiter und Gründer Theo de Raadt dem US-Onlinemagazin Ars Technica, der OpenSSL-Code sei einfach viel zu chaotisch für Ausbesserungen.

Die Gruppe um de Raadt hat seit Beginn des Forks die Hälfte des Codes aus OpenSSL entfernt. Das betrifft 90.000 Zeile reinen C-Codes sowie 150.000 Zeilen weiterer Inhalte, wie de Raadt gegenüber dem US-Dienst ZDNet sagte. Dennoch sind die Änderungen laut de Raadt komplett API-kompatibel, und der gesamte Ports-Zweig von OpenBSD mit immerhin 8700 Ports lässt sich weiterhin problemlos kompilieren."

Theo de Raadt: OpenSSL ist nicht reparierbar - Golem.de