The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Создать новую тему
 - Свернуть нити
Пометить прочитанным
1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | Архив | Избранное | Мое | Новое | | |  
Форум Разговоры, обсуждение новостей
В Fedora 42 планируют поставлять оптимизированные варианты исполняемых файлов, opennews, 11-Янв-25, 10:35  [ | | | ] [линейный вид] [смотреть все]


Google, Samsung и Arm представили формат объёмного звука Eclipsa, opennews, 10-Янв-25, 19:55  [ | | | ] [линейный вид] [смотреть все]


Компания Automattic свела к минимуму своё участие в разработке WordPress, opennews, 11-Янв-25, 13:13  [ | | | ] [линейный вид] [смотреть все]


Январский выпуск дистрибутива openSUSE Slowroll, opennews, 10-Янв-25, 08:46  [ | | | ] [линейный вид] [смотреть все]


Релиз системы самодостаточных пакетов Flatpak 1.16.0, opennews, 10-Янв-25, 10:52  [ | | | ] [линейный вид] [смотреть все]


Инициатива по поддержке проектов, использующих движок Chromium , opennews, 10-Янв-25, 17:24  [ | | | ] [линейный вид] [смотреть все]


Пятый альфа-выпуск среды рабочего стола COSMIC, opennews, 10-Янв-25, 13:12  [ | | | ] [линейный вид] [смотреть все]


Игровая консоль OrangePi Neo, поставляемая с Manjaro Linux, opennews, 08-Янв-25, 19:33  [ | | | ] [линейный вид] [смотреть все]


Суд обязал компанию AVM выполнить условия LGPL, opennews, 09-Янв-25, 22:36  [ | | | ] [линейный вид] [смотреть все]


Представлена игровая консоль Lenovo Legion Go S, использующая SteamOS на базе Arch Linux, opennews, 08-Янв-25, 20:08  [ | | | ] [линейный вид] [смотреть все]


Опубликована стандартная Си-библиотека newlib 4.5.0, opennews, 01-Янв-25, 12:37  [ | | | ] [линейный вид] [смотреть все]


VLC достиг 6 миллиардов загрузок и реализовал автоматическую генерацию субтитров, opennews, 09-Янв-25, 18:02  [ | | | ] [линейный вид] [смотреть все]


Уязвимость в OpenVPN, допускающая подстановку данных в плагины и сторонние обработчики, opennews, 09-Янв-25, 11:25  [ | | | ] [линейный вид] [смотреть все]
  • Скрыто модератором, Аноним (-), 11:36 , 09-Янв-25 (2) –1 [---]
  • Скрыто модератором, Аноним (-), 11:47 , 09-Янв-25 (3) –5 [---]
  • Т е они в июне рассказывали про незначительный баг ну подумаешь логи забиваются, Фнон (-), 11:54 , 09-Янв-25 (5) –5 [V]
  • Функция check_incoming_control_channel, куда был добавлен фикс, была написана 5 , Аноним (-), 12:00 , 09-Янв-25 (6)
    • В OpenVPN сто лет к ряду была известная всем кто минимально интересовался - дыра, Аноним (-), 12:21 , 09-Янв-25 (10)
      • А чем пользовались те, кто интересовался , Витюшка (?), 15:26 , 09-Янв-25 (20)
        • Предполагаю, что IPSec ом - там способов выстрелить себе в ногу еще больше - но , User (??), 15:32 , 09-Янв-25 (22) +1
          • Не, заменять одну энтерпрайз-блевотень с кучей вулнов, на другую - еще страшнее , Аноним (-), 12:42 , 10-Янв-25 (36) –1
            > Предполагаю, что IPSec'ом - там способов выстрелить себе в ногу еще
            > больше - но по какой-то причине было принято документацию читать,
            > а не хаутуи копипастить.

            Не, заменять одну энтерпрайз-блевотень с кучей вулнов, на другую - еще страшнее - и с в 2 раза больше вулнов - это прерогатива покусаных энтерпрайзом господ. А всякие относительно мелкие VPN не покусаные баззвордами типа TLS/SSL и "стандарты" - были много лет. Сейчас им жить стало намного сложнее из-за вайргада, который примерно это самое - но еще в ядре, так что маленький, простой в настройке - и очень шустрый. Так что конкурировать с ним стало конечно гораздо душнее.

            сообщить модератору –1 +/ответить
            • Звиняйте, хлопцi - но разве что в нише для себя и кота - в остальных wg не дел, User (??), 13:21 , 10-Янв-25 (38) +2
              >> Предполагаю, что IPSec'ом - там способов выстрелить себе в ногу еще
              >> больше - но по какой-то причине было принято документацию читать,
              >> а не хаутуи копипастить.
              > Не, заменять одну энтерпрайз-блевотень с кучей вулнов, на другую - еще страшнее
              > - и с в 2 раза больше вулнов - это прерогатива
              > покусаных энтерпрайзом господ. А всякие относительно мелкие VPN не покусаные баззвордами
              > типа TLS/SSL и "стандарты" - были много лет. Сейчас им жить
              > стало намного сложнее из-за вайргада, который примерно это самое - но
              > еще в ядре, так что маленький, простой в настройке - и
              > очень шустрый. Так что конкурировать с ним стало конечно гораздо душнее.

              Звиняйте, хлопцi - но разве что в нише "для себя и кота" - в остальных wg не делает примерно "ничего" полезного, сорян. И да, даже со скотом судя по бенчмаркам того же cillium'а - как-то ниочень вышло, ipsec засчет offload'а криптографии работает - сюрприииз! быстрее.
              _СЕЙЧАС_ у норот все больше checkpoint, cisco anyconnect, citrix secure access - да даже ms sstp, блин. Нужны complience policy оконечных устройств, нормальные (Нормальные, Карл!) клиенты для примерно всех ОС, централизованное управление зоопарком, развитая маршрутизация, отсутствие проблем за NAT'ами\FW, динамическое управление, контроль аномалий трафика + расширенные возможности FW, в нишевых кейсах - недетектируемость и т.д. - а не "Мааам! Мааам! Смотри как я зашифровал трафик между двумя хостами!"
              Чтобы из WG вот это всё сделать нуээээ... пока вроде не вышло еще ни у кого, но пытаются, да.

              сообщить модератору +2 +/ответить
        • Сейчас они пользуются в основном чем-то типа вайргада А тогда всякими мелкими н, Аноним (-), 12:39 , 10-Янв-25 (35) –1
          > А чем пользовались те, кто интересовался?

          Сейчас они пользуются в основном чем-то типа вайргада. А тогда всякими мелкими наколенными самопалами, менее известными и не такими навороченными опять же. Дабы избегать таких залетов.

          сообщить модератору –1 +/ответить
      • Уф Если под типом сертификата вы понимаете nsCertType - то тут все вопросы к , User (??), 15:30 , 09-Янв-25 (21) +3
        • ну если тебе ломанули CA - то он выпишет себе и с правильным x509-name, стольк, нах. (?), 19:08 , 09-Янв-25 (26)
        • Это - вранье, или некомпетенция В OpenVPN даже директива с проверкой типа серта, Аноним (-), 12:56 , 10-Янв-25 (37) –1
          > Уф. Если под "типом сертификата" вы понимаете nsCertType - то тут все
          > вопросы к openssl,

          Это - вранье, или некомпетенция. В OpenVPN даже директива с проверкой типа серта для конфига - была дофига. Но - вот - неактивная по дефолту, пока это не стало совсем уж общеизвестной антифичой, расписаной в каждом FAQ для кулхацкеров.

          А когда репутация стала совсем сливаться - там они конечно расчехлились. Но вскоре пришел wg и дал этим дурням мастеркласс как это надо было делать правильно.а

          А кроме сабжевого CVE у сабжа дыр вооьще - хватало. Потому что идея тянуть с сервера конфигурацию сети - да еще в эвон каком объеме - by design достаточно стремная. А TLS/SSL корректно использовать - не умеет из программ почти никто. Ну может кроме браузеров. И то.

          > депрекейтнули, а стандартом оно и не было никогда.
          > Если вы про extendedkeyusage который serverAuth\clientAuth

          Я не помню какое там поле серта за это отвечает, охота мне в этим энтерпрайз какахах копаться, аж два раза. Но помню что у OpenVPN была отдельная директива конфига - проверять тип серта. И вот тогда - атака не катила. Но эта фича была энное время выключена по дефолту - и чтоб не получить граблей надо было ЯВНО активировать это дело. Чего конечно почти никто не делал. Зачем так? А спросите у этих чудаков.

          > правы и все вопросы к IETF: RFC 5280 т.к. формально он на всю бошку optional

          Мне все равно, IETF там, RFC, или кто. Если меня может MITM в дефолтной конфиге огреть если я не станцую эвон чего - это плохое решение для VPN, не выполняющее свои функции защиты трафика.

          > Проверять KU\EKU и считать, что этого достаточно - это надо даже не
          > "разработчиком OpenVPN" быть а прям даже "экспертом opennet".

          В вон том случае - это даже работает. Потому что _та_ CA как правило эти серты - автогенерит, каждому клиенту, ну а серт должен быть подписан именно вон той CA.

          И в этом случае атакующему - если он не админ сервера с этой CA - вот, как максимум, светит получить обычный клиентский серт, как 1 из юзерей VPNа. А вот то что он в дефолтной конфиге потом сможет сервер VPN изобразить с своим клиентским сертом, и проверка пройдет, ибо CA правильная и серт валиден, а то что он клиентский всем пофиг...

          ...да, вы правы, на самом деле это вообще повод не пользоваться TLS как таковым.

          > в альтернативу (Сложьна!) - но то уже совсем в пользу бедных будет. )

          К счастью вон там уже появилось рещение которое прсото работает - защищает канал - без заучивания 20-этажных заклинаний и уборки капканов с поля.

          > Вместо этого все давно уже используют verify-x509-name

          Не. Вместо этого все кому надо было - защиту канала - при минимуме возни и подстав - просто wg поюзали и забыли вон то как страшный сон. И да, появилось полно сервисов умеющих и атвтогенерацию ключей и менеджмент клиентов: свято место пусто не бывает!

          сообщить модератору –1 +/ответить
          • Ну я и говорю - некомпетентность Была, была директива --ns-cert-type - но того-, User (??), 13:56 , 10-Янв-25 (39)
            >> Уф. Если под "типом сертификата" вы понимаете nsCertType - то тут все
            >> вопросы к openssl,
            > Это - вранье, или некомпетенция. В OpenVPN даже директива с проверкой типа
            > серта для конфига - была дофига.

            Ну я и говорю - некомпетентность. Была, была директива --ns-cert-type - но того-этого... вся вышла следом за openssl'ем.
            Потом да, заменили на --remote-cert-(ku|eku|tls) - но по вышеописанным причинам называть ЭТО "типом сертификата" - ну, такоэ.

            > Но - вот - неактивная  по дефолту, пока это не стало совсем уж общеизвестной антифичой, расписаной в каждом FAQ для кулхацкеров.

            Уф. Ну, т.е. я конечно пред-по-ла-га-ю, что OpenVPN вы ТОЖЕ кроме как в журнале "Хакер" нигде не видели - но что вы подразумеваете под "дефолтом" в отношении openvpn? И, главное - что вы хотите видеть в качестве этого самого "дефолта"?

            > А когда репутация стала совсем сливаться - там они конечно расчехлились.

            И каким же это образом? Очень интересно узнать!

            > Но вскоре пришел wg и дал этим дурням мастеркласс как это надо
            > было делать правильно.а

            Ииии, как? Как проблему тяжкого legacy x.509 помогает решать WG?

            >> депрекейтнули, а стандартом оно и не было никогда.
            >> Если вы про extendedkeyusage который serverAuth\clientAuth
            > Я не помню какое там поле серта за это отвечает, охота мне
            > в этим энтерпрайз какахах копаться, аж два раза. Но помню что
            > у OpenVPN была отдельная директива конфига - проверять тип серта. И
            > вот тогда - атака не катила. Но эта фича была энное
            > время выключена по дефолту - и чтоб не получить граблей надо
            > было ЯВНО активировать это дело. Чего конечно почти никто не делал.
            > Зачем так? А спросите у этих чудаков.

            Ну вот если бы вы чего знали - про x509, openssl, openvpn - вопросов бы меньше было, да.

            >> правы и все вопросы к IETF: RFC 5280 т.к. формально он на всю бошку optional
            > Мне все равно, IETF там, RFC, или кто. Если меня может MITM
            > в дефолтной конфиге огреть если я не станцую эвон чего -
            > это плохое решение для VPN, не выполняющее свои функции защиты трафика.

            Охтыж. Еще раз, для openvpn'а в глаза не видевших - _не существует_ "дефолтовой конфиги" openvpn, вы её для подключения к серверу сами написать должны - и что вы в неё впишете ответственность в общем-то ваша, а не openvpn'а, компренде? Если вы хотите сказать, что _минимальный_ набор параметров, позволяющих выполнить подключение к удаленному серверу не обеспечивает надлежащий уровень безопасности - то вы даже будете правы, но если прочитаете написанное выше - то поймете, что у господ в распоряжении было вот ровно два стула - или VPN _не будет работать_ с формально валидными сертификатами - или ну... вот... конечному эксплуатанту придется включать голову. Более того, даже если вы таки да, будете требовать наличия соответствующих KU\EKU в сертификате - _нормальный_ уровень безопасности без включения головы достигнут все равно не будет, ибо - см. выше.

            >> Проверять KU\EKU и считать, что этого достаточно - это надо даже не
            >> "разработчиком OpenVPN" быть а прям даже "экспертом opennet".
            > В вон том случае - это даже работает. Потому что _та_ CA
            > как правило эти серты - автогенерит, каждому клиенту, ну а серт
            > должен быть подписан именно вон той CA.

            Уффф... и снова повеяло экспертизой. Даже уточнять, что именно имелось в виду не стану во избежание.

            > И в этом случае атакующему - если он не админ сервера с
            > этой CA - вот, как максимум, светит получить обычный клиентский серт,
            > как 1 из юзерей VPNа. А вот то что он в
            > дефолтной конфиге потом сможет сервер VPN изобразить с своим клиентским сертом,
            > и проверка пройдет, ибо CA правильная и серт валиден, а то
            > что он клиентский всем пофиг...

            Проверка KU\EKU в данном случае премерзкий кривой костыль, который не то, чтобы добавляет особой безопасности. Нормальное решение - см. выше, но у разрабов - лапки, а до _нормального_ workaround'а ъ-форчун-500-энтерпрайз-админы не дочитали.

            > ...да, вы правы, на самом деле это вообще повод не пользоваться TLS
            > как таковым.

            Не пользуйтесь!

            >> в альтернативу (Сложьна!) - но то уже совсем в пользу бедных будет. )
            > К счастью вон там уже появилось рещение которое прсото работает - защищает
            > канал - без заучивания 20-этажных заклинаний и уборки капканов с поля.

            Ну вот конкретно с этим - оно справляется, да. Не то, чтобы хорошо - но как-то. Вот только openvpn сииииильно не только про "защиты канального уровня", да?

            >> Вместо этого все давно уже используют verify-x509-name
            > Не. Вместо этого все кому надо было - защиту канала - при
            > минимуме возни и подстав - просто wg поюзали и забыли вон
            > то как страшный сон. И да, появилось полно сервисов умеющих и
            > атвтогенерацию ключей и менеджмент клиентов: свято место пусто не бывает!

            Ну, да - если вам нужно вот только это - пуркуа бы не па. А вот вопрос наличия\отстутствия аналогичного рода уязвимостей в этих самых "сервисах автогенерации и менеджмента клиентов" требует своего исследователя - предполагаю, их там на полтора ipsec'а в сумме наберется ).

            сообщить модератору +/ответить
  • Проблема не стоит выделенного яйца, никто не ставит софт, который не выдержан го, Аноним (1), 12:17 , 09-Янв-25 (8) –1
  • Я же говорил - именно в проекты для анонимусов бэкдоры и пихают Корпораты же , Аноним (24), 17:29 , 09-Янв-25 (24)
  • Не совсем понятно с Windows версией она есть или будет или там нет уязвимости , seven (??), 21:56 , 10-Янв-25 (43)
    Не совсем понятно с Windows версией она есть или будет или там нет уязвимости?
    сообщить модератору +/ответить


Возобновлено соревнование по написанию запутанного кода на языке Си, opennews, 02-Янв-25, 11:11  [ | | | ] [линейный вид] [смотреть все]


Релиз Firefox 134, opennews, 07-Янв-25, 20:32  [ | | | ] [линейный вид] [смотреть все]


Выпуск дистрибутива Tails 6.11 с устранением проблем, выявленных аудитом безопасности, opennews, 09-Янв-25, 19:26  [ | | | ] [линейный вид] [смотреть все]
Инцидент с ошибочной блокировкой видео про биткойн, opennews, 07-Янв-25, 10:46  [ | | | ] [линейный вид] [смотреть все]


Скрытая командная оболочка в синтезаторе Yamaha, позволившая выполнить код через MIDI, opennews, 06-Янв-25, 11:50  [ | | | ] [линейный вид] [смотреть все]


Проект Gentoo опубликовал отчёт за 2024 год, opennews, 08-Янв-25, 12:44  [ | | | ] [линейный вид] [смотреть все]


Выпуск fheroes2 1.1.5, открытого движка Heroes of Might and Magic 2, opennews, 08-Янв-25, 10:42  [ | | | ] [линейный вид] [смотреть все]


Обновление дистрибутива AlmaLinux Kitten 10, основанного на CentOS Stream, opennews, 08-Янв-25, 11:10  [ | | | ] [линейный вид] [смотреть все]


Выпуск интегрированного набора интернет-приложений SeaMonkey 2.53.20, opennews, 08-Янв-25, 12:00  [ | | | ] [линейный вид] [смотреть все]


Обновление свободного издательского пакета Scribus 1.6.3 , opennews, 09-Янв-25, 12:21  [ | | | ] [линейный вид] [смотреть все]


В среде рабочего стола Budgie 10.10 будет оставлена только поддержка Wayland, opennews, 07-Янв-25, 11:23  [ | | | ] [линейный вид] [смотреть все]


Началось бета-тестирование открытого российского игрового движка NauEngine, opennews, 26-Ноя-24, 15:52  [ | | | ] [линейный вид] [смотреть все]


FlippyRAM - дистрибутив для тестирования атаки Rowhammer, opennews, 02-Янв-25, 10:25  [ | | | ] [линейный вид] [смотреть все]


Выпуск Winlator 9.0, окружения для запуска Windows-приложений в Android, opennews, 04-Янв-25, 10:37  [ | | | ] [линейный вид] [смотреть все]


Выпуск Phosh 0.44.0, GNOME-окружения для смартфонов, opennews, 31-Дек-24, 18:19  [ | | | ] [линейный вид] [смотреть все]


Предварительный выпуск мессенджера Pidgin 3.0, opennews, 01-Янв-25, 10:13  [ | | | ] [линейный вид] [смотреть все]


Мэтью Гаррет опроверг критику TPM, распространяемую Фондом СПО, opennews, 03-Янв-25, 15:10  [ | | | ] [линейный вид] [смотреть все]


 
Пометить прочитанным Создать тему
1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | Архив | Избранное | Мое | Новое | | |



Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру