#fælleshjerme #PHP
-
Nu har jeg efterhånden læst mange opslag, artikler m.m. om sikkerhedshullet der blev fundet i PHP koden forleden. F.eks. i information:
Men jeg forstår stadig væk ikke, hvorfor der ikke kunne laves opdateringer der kunne pushes uden at manualen for at hacke serverne med PHP websider samtidig kom ud. Det var jo dem selv der opdagede problemerne. Var det ondsindet læk et sted, eller hvad er det som ingen fortæller mig? Elller hvad forstår jeg ikke?
CEO for ChainGuard besluttede at offentliggøre sikkerhedshul og deres eget fix et døgn før alle andre var klar. Han sætter ord på den beslutning her:
-
Nu har jeg efterhånden læst mange opslag, artikler m.m. om sikkerhedshullet der blev fundet i PHP koden forleden. F.eks. i information:
Men jeg forstår stadig væk ikke, hvorfor der ikke kunne laves opdateringer der kunne pushes uden at manualen for at hacke serverne med PHP websider samtidig kom ud. Det var jo dem selv der opdagede problemerne. Var det ondsindet læk et sted, eller hvad er det som ingen fortæller mig? Elller hvad forstår jeg ikke?
@siggi Det er et mudret billede, og jeg tror det er bevidst, delvis.
Sikkerhedsfejlene blev oprindeligt fundet for nogle år siden, men blev vurderet til lav risiko / prioritet.
Alle sikkerhedsrettelser er indirekte en manual til at udnytte fejl, fordi hvis der nu kontrolleres at inputtet er under 20 tegn langt, giver det nogle tips, så det er lettere at regne ud.
Nu slår AI-fjolserne, især i USA, på tromme fordi de vil have lovgivningen til at beskytte dem fra konkurrenter i andre landre.
-
@siggi Det er et mudret billede, og jeg tror det er bevidst, delvis.
Sikkerhedsfejlene blev oprindeligt fundet for nogle år siden, men blev vurderet til lav risiko / prioritet.
Alle sikkerhedsrettelser er indirekte en manual til at udnytte fejl, fordi hvis der nu kontrolleres at inputtet er under 20 tegn langt, giver det nogle tips, så det er lettere at regne ud.
Nu slår AI-fjolserne, især i USA, på tromme fordi de vil have lovgivningen til at beskytte dem fra konkurrenter i andre landre.
@siggi Her er fx et kort fix til en sikkerhedsfejl i OpenBSD. Linerne der starter med + er indsatte og når -+ følger efter hinanden er det ændringer i en linie.
Så det er tydeligt hvad der nu tjekkes, og så kan man spole baglæns til at finde ud af hvordan man som angriber skaber de betingelser.
https://ftp.openbsd.org/pub/OpenBSD/patches/7.8/common/025_sack.patch.sig
-
@siggi Her er fx et kort fix til en sikkerhedsfejl i OpenBSD. Linerne der starter med + er indsatte og når -+ følger efter hinanden er det ændringer i en linie.
Så det er tydeligt hvad der nu tjekkes, og så kan man spole baglæns til at finde ud af hvordan man som angriber skaber de betingelser.
https://ftp.openbsd.org/pub/OpenBSD/patches/7.8/common/025_sack.patch.sig
@siggi Og til sidst: Når jeg sidder som øverste it-sikkerhedsansvarlige skal jeg have så mange oplysninger om muligt for at kunne beslutte/rådgive hvilke systemer min organisation skal slukke og hvilke vi kan beskytte på andre måder.
-
Nu har jeg efterhånden læst mange opslag, artikler m.m. om sikkerhedshullet der blev fundet i PHP koden forleden. F.eks. i information:
Men jeg forstår stadig væk ikke, hvorfor der ikke kunne laves opdateringer der kunne pushes uden at manualen for at hacke serverne med PHP websider samtidig kom ud. Det var jo dem selv der opdagede problemerne. Var det ondsindet læk et sted, eller hvad er det som ingen fortæller mig? Elller hvad forstår jeg ikke?
@siggi Så vidt jeg har forstået, var et af de betroede firmaer der skulle holde tæt, ikke tilliden værd. Og så blev der nok lige overdramatiseret en my eller to.
-
@siggi Og til sidst: Når jeg sidder som øverste it-sikkerhedsansvarlige skal jeg have så mange oplysninger om muligt for at kunne beslutte/rådgive hvilke systemer min organisation skal slukke og hvilke vi kan beskytte på andre måder.
ahh, tak for uddybning! Tror jeg forstår lidt mere nu
-
@siggi Så vidt jeg har forstået, var et af de betroede firmaer der skulle holde tæt, ikke tilliden værd. Og så blev der nok lige overdramatiseret en my eller to.
@anderslund ahh, så faktisk et læk af en slags?
-
@anderslund ahh, så faktisk et læk af en slags?
@siggi Et firma frigav - angiveligt ved en fejl - detaljer om problemet og dets anvendelse. Zend et-eller-andet.
-
CEO for ChainGuard besluttede at offentliggøre sikkerhedshul og deres eget fix et døgn før alle andre var klar. Han sætter ord på den beslutning her:
ahh, men lidt som en reaktion på at der allerede gik rygter.
Er det fordi PHP er så kæmpestort og bliver brugt så mange steder og den fejl der var ikke kunne fikes centralt, men skulle fikses af mange mennesker og grupper(hundrede? tusinder?), og derved var meget svær at holde hemmeligt.
-
ahh, men lidt som en reaktion på at der allerede gik rygter.
Er det fordi PHP er så kæmpestort og bliver brugt så mange steder og den fejl der var ikke kunne fikes centralt, men skulle fikses af mange mennesker og grupper(hundrede? tusinder?), og derved var meget svær at holde hemmeligt.
Nogen opdager at alle hæveautomater har en fejl der gør at hvis man taster 9**9 ind som PIN, med hvilket som helst kort, så spytter automaten alle pengene ud.
Fabrikanten bliver gjort opmærksom på fejlen.
Fabrikanten laver et fix, og fortæller i et lukket forum for banker at de skal gøre klar til at installere fix torsdag.
Løgstør Andelskasse vælger at fortælle om problemet onsdag, og meddeler samtidigt at deres 2 automater nu er sikre.
-
P pelle@veganism.social shared this topic
-
Nogen opdager at alle hæveautomater har en fejl der gør at hvis man taster 9**9 ind som PIN, med hvilket som helst kort, så spytter automaten alle pengene ud.
Fabrikanten bliver gjort opmærksom på fejlen.
Fabrikanten laver et fix, og fortæller i et lukket forum for banker at de skal gøre klar til at installere fix torsdag.
Løgstør Andelskasse vælger at fortælle om problemet onsdag, og meddeler samtidigt at deres 2 automater nu er sikre.
-
Nogen opdager at alle hæveautomater har en fejl der gør at hvis man taster 9**9 ind som PIN, med hvilket som helst kort, så spytter automaten alle pengene ud.
Fabrikanten bliver gjort opmærksom på fejlen.
Fabrikanten laver et fix, og fortæller i et lukket forum for banker at de skal gøre klar til at installere fix torsdag.
Løgstør Andelskasse vælger at fortælle om problemet onsdag, og meddeler samtidigt at deres 2 automater nu er sikre.
