Bitcurex i problem openssl

Regulamin forum
1. Wszystkie wykryte krytyczne błędy i luki w oprogramowaniu serwisu zgłaszamy do danego serwisu. Nie publikujemy szczegółów na forum !!! Dopuszczalne jest publikowanie błędów o niskim stopniu zagrożenia oraz możliwych słabych punktów które naruszają podstawowe zasady bezpieczeństwa. np brak SSL
2. Na tym forum zgłaszamy jedynie fakt wykrycia luki z podaniem stopnia zagrożenia - małe/umiarkowane/krytyczne
3. Nie prowadzimy tu luźnych dyskusji i pogaduszek - te będą surowo karane!
4. Wszelkie pomówienia są zakazane !
Odpowiedz
Bit-els
Moderator
Awatar użytkownika
Posty: 11686
Rejestracja: 16 lutego 2013
Reputacja: 3879
Reputacja postu: 
0
Napiwki za post: 0 BTC

Bitcurex i problem openssl

Postautor: Bit-els » czwartek, 10 kwietnia 2014, 16:57

http://zaufanatrzeciastrona.pl/post/jak ... l-walczyl/

Może byłoby dobrze wszystko wyjaśnić.
doooku
Gaduła
Posty: 307
Rejestracja: 20 maja 2011
Reputacja: 28
Reputacja postu: 
0
Napiwki za post: 0 BTC

Re: Bitcurex i problem openssl

Postautor: doooku » czwartek, 10 kwietnia 2014, 17:22

Panowie z BitCurexa pochwalcie się jakiej wersji nginx i openSSL używaliście, skoro wasz serwer był zawsz odporny na atak?

Z tego co widzę to w domyślna biblioteka w Debianie była podatna na atak 1.0.1e-2+deb7u4
oczator
Rozmowny
Awatar użytkownika
Posty: 93
Rejestracja: 7 stycznia 2014
Reputacja: 0
Reputacja postu: 
0
Napiwki za post: 0 BTC
Lokalizacja: Kraków

Re: Bitcurex i problem openssl

Postautor: oczator » czwartek, 10 kwietnia 2014, 17:24

Wystarczyło skompilować OpenSSL z flagą -DOPENSSL_NO_HEARTBEATS aby nie być podatnym na atak...
doooku
Gaduła
Posty: 307
Rejestracja: 20 maja 2011
Reputacja: 28
Reputacja postu: 
0
Napiwki za post: 0 BTC

Re: Bitcurex i problem openssl

Postautor: doooku » czwartek, 10 kwietnia 2014, 17:47

Tak. Ale domyślna wersja pakietu w debianie była podatna na zagrożenie. A szczerze mówiąc używanie własnych pakietów bez wyraźnych powodów ma więcej wad niż zalet.
big_digger
Dyskutant
Posty: 250
Rejestracja: 6 kwietnia 2013
Reputacja: 2
Reputacja postu: 
0
Napiwki za post: 0 BTC

Re: Bitcurex i problem openssl

Postautor: big_digger » czwartek, 10 kwietnia 2014, 17:49

Stare wersje openssl tez nie byly podatne.. ale takie calkiem stare :)

Pomocy! Jestem lamerem i nie wiem jak wyłączyc podpis w Tapatalku. Proszę o instrukcję na PW. SM-T210 przy użyciu Tapatalka
hanti
Weteran
Awatar użytkownika
Posty: 3621
Rejestracja: 11 grudnia 2012
Reputacja: 193
Reputacja postu: 
0
Napiwki za post: 0 BTC

Re: Bitcurex i problem openssl

Postautor: hanti » czwartek, 10 kwietnia 2014, 17:54

bardzo stare wersje mialy/maja chyba inne pewnie tak samo grozne dziury... czy nie ? Bo nie wiem w sumie ;p
@_# :P ;) :D
Polecam następujące giełdy BTC/LTC:
bitmarket.pl bitmaszyna.pl https://www.kraken.com/
doooku
Gaduła
Posty: 307
Rejestracja: 20 maja 2011
Reputacja: 28
Reputacja postu: 
0
Napiwki za post: 0 BTC

Re: Bitcurex i problem openssl

Postautor: doooku » czwartek, 10 kwietnia 2014, 18:24

Tutaj nie ma mowy o starych wersjach serwer proxy bitcurexa używa debiana wheezy który od początku zawierał openssl w wersji 1.0.1 (podatnej na atak)
http://packages.qa.debian.org/o/openssl.html

PS: Załogo bitcurex. Ponoć macie czas żeby stawiać honeypoty a nie zadaliście sobie trudu aby ukryć jakiej wersj php i systemu używacie.
Nie masz wymaganych uprawnień, aby zobaczyć pliki załączone do tego posta.
fun
Wygadany
Posty: 621
Rejestracja: 6 lipca 2011
Reputacja: 2
Reputacja postu: 
0
Napiwki za post: 0 BTC

Re: Bitcurex i problem openssl

Postautor: fun » czwartek, 10 kwietnia 2014, 18:29

Ściema jak zwykle. W godzinach porannych bitcurex był podatny.
Odpowiedz

Wróć do „Giełdy i serwisy - zagrożenia”

Kto jest online

Użytkownicy przeglądający to forum: Obecnie na forum nie ma żadnego zarejestrowanego użytkownika i 21 gości