Od czasu do czasu na jaw wychodzą błędy tak oczywiste, że aż trudno uwierzyć w to, że są obecne np. od dekady i nikt nie zauważył. Nie jest to zjawisko nowe. Trzy lata temu okazało się, że możliwe jest zalogowanie do HP Integrated Lights-Out gdy poda się wystarczająco długie hasło. Sześć lat temu odkryto ShellShock, obecny w powłoce Bash przez 25 lat. W zeszłym tygodniu wyszła na jaw pewna słabość w GnuTLS, jednej z otwartych implementacji SSL. Słabość raczej poważna. Nawiązywanie bezpiecznego połączenia TLS opiera się na klasycznej wymianie kluczy metodą Diffie'ego [...]

Certyfikat AddTrust External CA Root, uznawany na certyfikat autorytatywny (root), wygasł 30 maja 2020, po dwudziestu latach ważności. Serwery i aplikacje wykorzystujące komunikację SSL/TLS, korzystające z certyfikatów wysnutych ze ścieżki pochodzącej od niego, mogą przestać działać. Choć o ryzyku wiedziano od dawna, zima ponownie zaskoczyła drogowców i sporo usług zalicza właśnie downtime. Problemy zgłasza między innymi Heroku, SugarSync, Puppet i toggl. Szyfrowanie połączenia nie zapewnia jego bezpieczeństwa. Jaką wartość ma na przykład szyfrowanie w sytuacji, gdy wiele osób zna klucz lub szyfr? Aby zapewnić bezpieczeństwo, certyfikaty są wystawiane przez zewnętrzne instytucje, a [...]