forum.opennet.ru - "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" (45)

"Проект HardenedBSD возвращается с LibreSSL на OpenSSL"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+/–
Сообщение от opennews (??) on 30-Апр-18, 20:50
Проект HardenedBSD, занимающийся улучшением механизмов защиты FreeBSD и выпускающий защищённые сборки FreeBSD, сообщил (http://hardenedbsd.org/article/shawn-webb/2018-04-30/hardene...) о возвращении к использованию OpenSSL, спустя более года после миграции на LibreSSL. Как следствие возвращения на OpenSSL, в качестве NTP-сервера по умолчанию будет возвращён ISC NTP вместо OpenNTPd. В качестве причины называется сложность сопровождения решения на базе LibreSSL и существенные трудозотраты при переходе на новые выпуски LibreSSL. В частности, при обновлении LibreSSL с версии 2.6.4 до 2.7.2 всплыло большое число несовместимостей в портах, которые требуют индивидуальных внесений исправлений в порты. При расширении команды разработчиков HardenedBSD проект намерен вернуться на LibreSSL, но в данный момент продолжение использования LibreSSL невозможно из-за отсутствия необходимых ресурсов для сопровождения. C 1 июля в ветках HardenedBSD 12-CURRENT и 11-STABLE по умолчанию будет включена сборка с OpenSSL, но поддержка LibreSSL в базовой системе будет сохранена в форме опции (для сборки слдует установить переменную MK_LIBRESSL=yes). Копия репозитория пакетов, связанных с LibreSSL, будет доступна до 1 января 2019 года, т.е. пользователям будет предоставлено 8 месяцев на обновление до OpenSSL. URL: http://hardenedbsd.org/article/shawn-webb/2018-04-30/hardene... Новость: https://www.opennet.dev/opennews/art.shtml?num=48519
Ответить \| Правка \| Cообщить модератору

Оглавление

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 20:50 , 30-Апр-18, (1) –6

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 20:54 , 30-Апр-18, (2) +3

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 00:13 , 02-Май-18, (43) +2

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 03:05 , 01-Май-18, (16) –6

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 15:31 , 01-Май-18, (29) +6

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 16:55 , 01-Май-18, (32) –5

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 17:17 , 01-Май-18, (33) +5

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 17:29 , 01-Май-18, (35) –3

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, 33333333, 21:17 , 30-Апр-18, (3)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, A.Stahl, 22:09 , 30-Апр-18, (4) +5
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Какаянахренразница, 05:48 , 01-Май-18, (20) +1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, 1244444566, 05:15 , 02-Май-18, (45) +1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 22:23 , 30-Апр-18, (5) –1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, колобок, 22:51 , 30-Апр-18, (6)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Ivan_83, 22:59 , 30-Апр-18, (7) +2

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Michael Shigorin, 23:05 , 30-Апр-18, (9) –2

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Ivan_83, 23:25 , 30-Апр-18, (11) –1
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, PereresusNeVlezaetBuggy, 23:59 , 30-Апр-18, (13) +5
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 03:02 , 01-Май-18, (15) –1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 09:37 , 01-Май-18, (22)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 10:15 , 02-Май-18, (46)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 16:32 , 01-Май-18, (31)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, YetAnotherOnanym, 19:50 , 01-Май-18, (41) –1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 10:19 , 02-Май-18, (47) –1
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 23:11 , 02-Май-18, (49)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, xm, 23:22 , 30-Апр-18, (10) +2

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Ivan_83, 23:30 , 30-Апр-18, (12) +1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, angra, 02:33 , 01-Май-18, (14) +2

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 05:10 , 01-Май-18, (18) +1
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Ivan_83, 05:27 , 01-Май-18, (19) +1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, xm, 15:03 , 01-Май-18, (28) +1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Ivan_83, 19:22 , 01-Май-18, (40)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, xm, 20:43 , 01-Май-18, (42)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Ivan_83, 01:50 , 02-Май-18, (44) –2
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 10:26 , 02-Май-18, (48)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, artemrts, 13:07 , 01-Май-18, (26)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Ivan_83, 19:05 , 01-Май-18, (38)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Fyjybv755, 13:34 , 01-Май-18, (27) +4

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Ivan_83, 19:08 , 01-Май-18, (39)
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, PereresusNeVlezaetBuggy, 15:32 , 03-Май-18, (50)

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Michael Shigorin, 23:04 , 30-Апр-18, (8)
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Бывалый, 09:32 , 01-Май-18, (21) –3
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, ыы, 10:19 , 01-Май-18, (23) +1

Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Andrey Mitrofanov, 12:02 , 01-Май-18, (25)
Проект HardenedBSD возвращается с LibreSSL на OpenSSL, Аноним, 15:42 , 01-Май-18, (30)

Сообщения по теме [Сортировка по времени | RSS]

1. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –6 +/–

Сообщение от Аноним (??) on 30-Апр-18, 20:50

Тоже мне безопасники. Вернулись на дырявый openssl, потому что не осилили написать патчи для портов.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +3 +/–

Сообщение от Аноним (??) on 30-Апр-18, 20:54

если безопасность не подкреплена математикой - это шутка

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

43. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +2 +/–

Сообщение от Аноним (??) on 02-Май-18, 00:13

openssl - это шутка

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

16. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –6 +/–

Сообщение от Аноним (??) on 01-Май-18, 03:05

> Тоже мне безопасники. Вернулись на дырявый openssl, потому что не осилили написать
> патчи для портов.
Ну блин написано - на безопасность нет ресурсов. Видимо, корпоративщики как всегда показали фигу и с коммитами/рабочей силой и с деньгами. Лицензия позволяет, ниипер.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

29. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +6 +/–

Сообщение от Аноним (??) on 01-Май-18, 15:31

> Ну блин написано - на безопасность нет ресурсов.
Харденед разрабы вообще-то всегда больше ограничивались ядром, внося в базу только мнинимальные дополнения. А мейнейнить в два-три рыла еще и не сильно маленькую репу в 30к портов немного перебор.
Но, конечно же глупо ждать от анонима хоть какого-то знания предмета - ему лишь бы вcпyкнуть при виде знакомых слов )
> Видимо, корпоративщики как всегда показали фигу и с коммитами/рабочей силой и с деньгами. Лицензия позволяет, ниипер.
А не хочет ли дорогой наш эксперт всего и вся поведать нам, какая лицензия заставляет спонсировать деньгами или рабочей силой любой форк какого-то проекта? И что там со спонсированием майками QoS, например, репы арчика?
И самое главное: какие именно проприетарщики показали фигу дебиану с коммитами/рабочей силой и с деньгами, так что там даже не пытались перейти на либру?

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

32. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –5 +/–

Сообщение от Аноним (??) on 01-Май-18, 16:55

В отличие от этой поделки дебианом пользуется сильно больше людей, а ломать все значит превратится в такую же поделку - никому не нужную. Этим ребятам явно пофиг, либраводам пофиг, почему кому-то должно быть не пофиг на агонию престарелого бомжа.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

33. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +5 +/–

Сообщение от Аноним (??) on 01-Май-18, 17:17

>>> Вернулись на дырявый openssl, потому что не осилили написать патчи для портов.
>> Ну блин написано - на безопасность нет ресурсов
> В отличие от этой поделки дебианом пользуется сильно больше людей, а ломать все значит превратится в такую же поделку - никому не нужную.
> этой поделки
> в такую же поделку
Получается, дебиану можно использовать "дырявый openssl", потому что им пользуются больше людей и дебиан "не поделка". Наоборот - если перейдут на либру, то сломают все и станут поделкой.
А вот сабжу неможно переходить обратно, потому что они поделка, а невозможность втроем мейнтенить здоровенную репу просто отговорка неосиляторов?

В общем, внятно аргуменировать и логично обосновать свою точку зрения ты не осилил. Так бы сразу и писал "Дибиан лудьший и рулит! Так воть!".

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

35. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –3 +/–

Сообщение от Аноним (??) on 01-Май-18, 17:29

> Получается, дебиану можно использовать "дырявый openssl"
Думаю ребятам из дебиана виднее, и риски они оценивают правильно, имено потому их продуктом пользуются.
и эта фраза неоспорима
> А вот сабжу неможно переходить обратно, потому что они поделка, а невозможность
> втроем мейнтенить здоровенную репу просто отговорка неосиляторов?
их трое, потому что никто не видит смысла в их шатаниях -> их шатания следствие...
за них этот круг никто не разорвет.
> В общем, внятно аргуменировать и логично обосновать свою точку зрения ты не осилил.
Да что ты говоришь, редко приходится констатировать чтото более логичное.
> Так бы сразу и писал "Дибиан лудьший и рулит!
честно тебе скажу, дебиан 3-й с конца в моем личном рейтинге.

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

3. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от 33333333 on 30-Апр-18, 21:17

еще один повод для меня пересобрать libressl с git pull после обновления 16.04.4 ЛТС до 18.04 :)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +5 +/–

Сообщение от A.Stahl (ok) on 30-Апр-18, 22:09

Ещё раз собери. И ещё раз. На всякий случай.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

20. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +1 +/–

Сообщение от Какаянахренразница (ok) on 01-Май-18, 05:48

> после обновления 16.04.4 ЛТС до 18.04
А ты уже обновился? Не страшно?

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

45. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +1 +/–

Сообщение от 1244444566 on 02-Май-18, 05:15

нет...не страшно ;) а че боятся то? вся обнова прошла как по маслу.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

5. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –1 +/–

Сообщение от Аноним (??) on 30-Апр-18, 22:23

выкидывание кода усложняет систему, ай да выкидыватели

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от колобок on 30-Апр-18, 22:51

Не смогли в миграцию, и только.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +2 +/–

Сообщение от Ivan_83 (ok) on 30-Апр-18, 22:59

Поторопился.
Во фре тоже перешли на эту версию, щас порты допилят за неделю/месяц.
А ISC NTP просто какое то днище.
Мне вот не нужно предоставлять сервис времени другим, поэтому я нашёл в хз какой документации параметры и сделал чтобы он биндился только на lo.
Проверил, работает.
Прошло немного времени и после апдейта ОС вместе с этим демоном работа сломалась.
Притом сломалась настолько, что ntpd должен обязательно слушать и обязательно обрабатывать пакеты на том интерфейсе на котором он общается с апстримами.
Те смотреть голой жопой в инет обязательно. Про фаер я слышал, но это костыльное решение ля купирования проблемы, а на рабочих станциях я фаер не держу.
Поставил OpenNTPd.
Конфиг простейший и понятный.
Не хочешь предоставлять точно время другим - не биндишься к интерфейсам и оно спокойно себе работает.
Ещё раз убедился что в ISC сплошные плохие кодеры, всегда обходил ихний дхцп и днс (бинд) стороной, знал бы про ntp - избежал бы траты кучи времени.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –2 +/–

Сообщение от Michael Shigorin (ok) on 30-Апр-18, 23:05

Просто к сведению: на линуксе isc-шный умеет пользоваться "подкруткой времени" в ядре и плавно его выводить на точное, ну а openntpd лупит кувалдой, как умеет, не заморачиваясь ерундой вроде монотонности системных часов.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

11. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –1 +/–

Сообщение от Ivan_83 (ok) on 30-Апр-18, 23:25

Я в курсе, но мне оно не критично.
Монотонность обеспечивается в таймерах, там аптайм считается.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

13. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +5 +/–

Сообщение от PereresusNeVlezaetBuggy (ok) on 30-Апр-18, 23:59

> Просто к сведению: на линуксе isc-шный умеет пользоваться "подкруткой времени" в ядре
> и плавно его выводить на точное, ну а openntpd лупит кувалдой,
> как умеет, не заморачиваясь ерундой вроде монотонности системных часов.
Откуда дровишки? Плавная подстройка (при поддержке ядра) в OpenNTPd есть давно, может, это где-то сборка криво происходит?

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

15. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –1 +/–

Сообщение от Аноним (??) on 01-Май-18, 03:02

Зато весь ISCшный софт являет собой пример монструозного энтерпрайзного оверинжиниринга. Наиболее эпично они конечно в BIND 10 оттянулись, но и остальной софт - очень в духе. И поэтому "радует" огромным attack surface и багодромом, кучей зависимостей, уроном для приваси и прочими характерными "прелестями".
А openntpd - выгодно отличается мелким кодом и "security in mind". Мелкая прожка, которая делает только то что обещала. И как максимум - ну может через нее систему накрайняк левым временам накормят. Что наверное лучше чем remote code execution, которым по жизни отличается софт от ISC из-за смеси монструозности и увлечения наворачиванием фич с пофигом на безопасность. Что для сетевого софта все-таки критично.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

22. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Аноним (??) on 01-Май-18, 09:37

Вот еще прекрасная NTP-реализация:
DragonFly has its own from-scratch time daemon. After pulling our hair out over the many issues with open source time daemons we decided to write one by ourselves and add new system calls to support it. dntpd(8) uses a double staggered linear regression and correlation to make time corrections. It will also properly deal with network failures (including lack of connectivity on boot), duplicate IPs resolved by DNS, and time source failures (typically 1 second off) when multiple time sources are available. The linear regression and correlation allows dntpd(8) to make rough adjustments and frequency corrections within 5 minutes of boot and to make more fine-grained adjustments at any time following when the linear regression indicates accuracy beyond the noise floor.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

46. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Аноним (??) on 02-Май-18, 10:15

> Вот еще прекрасная NTP-реализация:
Она работает в Linux?
И описание - довольно странное, чтоли. Какие-то "5 minutes after boot". А почему не минуту? Или не полчаса? И почему именно "after boot"? Это их "properly deal" включает в себя например сетку в ауте первые два часа после загрузки? Или wakeup из suspend to RAM вместо "boot"? Ну там лаптоп какой-нибудь с intermittent connectivity и спячкой - как на него такая логика ложится? Ну вот вообще совсем нихрена не очевидно из такого описания.
Openntpd не пытается сильно умничать, поэтому и сильных сюрпризов вроде не подкидывает. У NTPD именно алгоритмы синхронизации и коррекции часов довольно крутые. Но он в результате перерос в огромного монстра. С какими там еще керберосами, всякой полудекоративной "типа-секурити" и чем там еще. Явно лишним для выполнения задачи подкорректировать часы.

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

31. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Аноним (??) on 01-Май-18, 16:32

а когда isc-шный научится НЕ переводить время в давнее прошлое (делая невалидные взломанные сертификаты снова валидными)?
это ведь простейшее действие -- спросить у гугл-сервера текущее время

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

41. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –1 +/–

Сообщение от YetAnotherOnanym (ok) on 01-Май-18, 19:50

В наших краях время положено спрашивать у серверов ВНИИФТРИ.

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

47. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –1 +/–

Сообщение от Аноним (??) on 02-Май-18, 10:19

> В наших краях время положено спрашивать у серверов ВНИИФТРИ.
Да что уж там, у ВНИИ Химических Удобрений и Ядохимикатов.

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

49. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Аноним (??) on 02-Май-18, 23:11

> В наших краях время положено спрашивать у серверов ВНИИФТРИ.
Кем положено?

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

10. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +2 +/–

Сообщение от xm (ok) on 30-Апр-18, 23:22

Короче, ещё один не осилил конфиг NTP и понаписал кучу ерунды, которую даже разбирать желания нет.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

12. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +1 +/–

Сообщение от Ivan_83 (ok) on 30-Апр-18, 23:30

Осилил и пользовался много лет.
Но встал вопрос что на рабочих станциях я не желаю предоставлять сервис точного времени и использовать фаер.
В конфиге кое как нашлись опции для этого, но вскоре сломались.
В общем я не хочу и не будут тратить больше своё время на поделия ISC, оно того не стоит.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

14. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +2 +/–

Сообщение от angra (ok) on 01-Май-18, 02:33

Ты так хорошо его осилил, что даже не заметил в документации раздел ACL и пошел сразу рубить бинды?

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

18. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +1 +/–

Сообщение от Аноним (??) on 01-Май-18, 05:10

За ACL в приложениях нужно сажать

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

19. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +1 +/–

Сообщение от Ivan_83 (ok) on 01-Май-18, 05:27

Если ставить игнорировать запросы - синхронизация тоже отваливается.
ACL подразумевает обработку запросов, это как возможность для DoS так и потенциальная дырка, если там в очередной раз уязвимость найдут.
Уязвимости в ntpd за последние 10 лет находили более 10 раз, притом там часто за раз была не одна узявимость а несколько.
Это одна из лидирующих по дыркам служб во фре.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

28. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +1 +/–

Сообщение от xm (ok) on 01-Май-18, 15:03

Десятки инсталляций годами работают с NTP и без файерволов для чего надо было всего лишь поправить ntp.conf в разделе security. А последние несколько лет так и вообще его трогать нет необходимости. По-крайней мере во FreeBSD.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

40. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Ivan_83 (ok) on 01-Май-18, 19:22

Миллионы мух не могут ошибатся ага.
Нету никакого секурити в софте от ISC, все эти надписи имеют много меньше ценности чем любая надпись на заборе.
https://www.freebsd.org/security/advisories.html
Я вот смотрю сюда и просто выкидываю всё что часто встречается: openssl, ntpd.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

42. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от xm (ok) on 01-Май-18, 20:43

Обновляться своевременно не пробовали?
Софт ISC 25 лет поддерживает инфраструктуру сети, в том числе и ключевую, как бы кто к нему не относился. Количество дыр соразмерно истории и наследию.

Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

44. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –2 +/–

Сообщение от Ivan_83 (ok) on 02-Май-18, 01:50

На стабле сижу.
А если ставить свежее с портов то я вот альтернативу и выбрал.
Ничего он уже давно не поддерживает, так, всякие маргиналы ещё юзают бинд, дхцп и апач в придачу (знаю что не их), потому что с молодости привыкли и всё никак не переучатся.
По пачке дыр каждый год последние 10 лет в простом демоне синхронизации времени это как то чересчур.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

48. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Аноним (??) on 02-Май-18, 10:26

> Софт ISC 25 лет поддерживает инфраструктуру сети, в том числе и ключевую,
> как бы кто к нему не относился. Количество дыр соразмерно истории и наследию.
Количество дыр соразмеримо блоатварности и оверинжинирингу их софта, внезапно. Потому что чем больше программа - тем больше в ней багов. Включая и проблемы безопасности.
И поэтому хакер не сможет часы мне сбить, зато код выполнит, дааа? Это конечно прикольное понимание безопасности, но нет.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

26. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от artemrts (ok) on 01-Май-18, 13:07

О, а подскажи замену isc dhcpd, а то как то сам задумался свалить с него.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

38. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Ivan_83 (ok) on 01-Май-18, 19:05

dnsmasq или мой скрипт на перле: http://netlab.dhis.org/wiki/ru:software:perl:dhcp_server

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

27. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +4 +/–

Сообщение от Fyjybv755 on 01-Май-18, 13:34

> Не хочешь предоставлять точно время другим - не биндишься к интерфейсам и оно спокойно себе работает.
Не хочу вас огорчать, но NTP - это UDP, а там нельзя отправлять пакеты, не забиндив сокет (ну, если не говорить про AF_RAW, которые тут явно не используются).
Так что биндится он как миленький.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

39. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Ivan_83 (ok) on 01-Май-18, 19:08

А ещё на UDP сокете можно вызвать connect() и тогда он будет принимать пакеты только от одного ip:port.
Даже без этого фильтрация на одном сокете левых пакетов заметно проще.
ISC я не доверяю принципиально, они писать программы не умеют.

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

50. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от PereresusNeVlezaetBuggy (ok) on 03-Май-18, 15:32

>> Не хочешь предоставлять точно время другим - не биндишься к интерфейсам и оно спокойно себе работает.
> Не хочу вас огорчать, но NTP - это UDP, а там нельзя
> отправлять пакеты, не забиндив сокет (ну, если не говорить про AF_RAW,
> которые тут явно не используются).
> Так что биндится он как миленький.
Отправлять можно. Вот с получением будут проблемы.

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

8. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Michael Shigorin (ok) on 30-Апр-18, 23:04

> Как следствие возвращения на OpenSSL, в качестве
> NTP-сервера по умолчанию будет возвращён ISC NTP
> вместо OpenNTPd.
Гм, а в чём связь?  В альте, скажем, сейчас штатно поставляются именно openssl и openntpd (но есть и LibreSSL, и ntp).

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

21. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" –3 +/–

Сообщение от Бывалый on 01-Май-18, 09:32

> сложность сопровождения решения на базе LibreSSL ... большое число несовместимостей в портах
В этом вся суть модно-молодёжных форков, спонсируемых корпорастами для атаки на базовые библиотеки и поломку инфраструктуры OpenSource.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

23. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +1 +/–

Сообщение от ыы on 01-Май-18, 10:19

(1) >спустя более года после миграции на LibreSSL
(2)> при обновлении LibreSSL с версии 2.6.4 до 2.7.2
Раз в год обновляют?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

25. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Andrey Mitrofanov on 01-Май-18, 12:02

> (1) >спустя более года после миграции на LibreSSL
> (2)> при обновлении LibreSSL с версии 2.6.4 до 2.7.2
> Раз в год обновляют?
Написано же 12-CURRENT втащили.  ??

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

30. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL" +/–

Сообщение от Аноним (??) on 01-Май-18, 15:42

> (2)> при обновлении LibreSSL с версии 2.6.4 до 2.7.2
> Раз в год обновляют?

/usr/src]$ git log crypto/libressl
Date:   Sun Dec 31 16:41:10 2017 +0100
    crypto/libressl: Update to 2.6.4
Date:   Sat Nov 11 19:23:27 2017 +0100
    HBSD: crypto/libressl: Update to 2.6.3
Date:   Tue Jul 18 19:03:55 2017 +0200
    hBSD: Complete merge of LibreSSL 2.5 changes
Date:   Wed Feb 1 09:48:58 2017 +0100
    HBSD: Import LibreSSL 2.4.5 from upstream

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–6 +/–
Сообщение от Аноним (??) on 30-Апр-18, 20:50
Тоже мне безопасники. Вернулись на дырявый openssl, потому что не осилили написать патчи для портов.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+3 +/–
	Сообщение от Аноним (??) on 30-Апр-18, 20:54
	если безопасность не подкреплена математикой - это шутка
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	43. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+2 +/–
	Сообщение от Аноним (??) on 02-Май-18, 00:13
	openssl - это шутка
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	16. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–6 +/–
	Сообщение от Аноним (??) on 01-Май-18, 03:05
	> Тоже мне безопасники. Вернулись на дырявый openssl, потому что не осилили написать > патчи для портов. Ну блин написано - на безопасность нет ресурсов. Видимо, корпоративщики как всегда показали фигу и с коммитами/рабочей силой и с деньгами. Лицензия позволяет, ниипер.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	29. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+6 +/–
	Сообщение от Аноним (??) on 01-Май-18, 15:31
	> Ну блин написано - на безопасность нет ресурсов. Харденед разрабы вообще-то всегда больше ограничивались ядром, внося в базу только мнинимальные дополнения. А мейнейнить в два-три рыла еще и не сильно маленькую репу в 30к портов немного перебор. Но, конечно же глупо ждать от анонима хоть какого-то знания предмета - ему лишь бы вcпyкнуть при виде знакомых слов ) > Видимо, корпоративщики как всегда показали фигу и с коммитами/рабочей силой и с деньгами. Лицензия позволяет, ниипер. А не хочет ли дорогой наш эксперт всего и вся поведать нам, какая лицензия заставляет спонсировать деньгами или рабочей силой любой форк какого-то проекта? И что там со спонсированием майками QoS, например, репы арчика? И самое главное: какие именно проприетарщики показали фигу дебиану с коммитами/рабочей силой и с деньгами, так что там даже не пытались перейти на либру?
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	32. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–5 +/–
	Сообщение от Аноним (??) on 01-Май-18, 16:55
	В отличие от этой поделки дебианом пользуется сильно больше людей, а ломать все значит превратится в такую же поделку - никому не нужную. Этим ребятам явно пофиг, либраводам пофиг, почему кому-то должно быть не пофиг на агонию престарелого бомжа.
	Ответить \| Правка \| ^ к родителю #29 \| Наверх \| Cообщить модератору


	33. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+5 +/–
	Сообщение от Аноним (??) on 01-Май-18, 17:17
	>>> Вернулись на дырявый openssl, потому что не осилили написать патчи для портов. >> Ну блин написано - на безопасность нет ресурсов > В отличие от этой поделки дебианом пользуется сильно больше людей, а ломать все значит превратится в такую же поделку - никому не нужную. > этой поделки > в такую же поделку Получается, дебиану можно использовать "дырявый openssl", потому что им пользуются больше людей и дебиан "не поделка". Наоборот - если перейдут на либру, то сломают все и станут поделкой. А вот сабжу неможно переходить обратно, потому что они поделка, а невозможность втроем мейнтенить здоровенную репу просто отговорка неосиляторов? В общем, внятно аргуменировать и логично обосновать свою точку зрения ты не осилил. Так бы сразу и писал "Дибиан лудьший и рулит! Так воть!".
	Ответить \| Правка \| ^ к родителю #32 \| Наверх \| Cообщить модератору


	35. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–3 +/–
	Сообщение от Аноним (??) on 01-Май-18, 17:29
	> Получается, дебиану можно использовать "дырявый openssl" Думаю ребятам из дебиана виднее, и риски они оценивают правильно, имено потому их продуктом пользуются. и эта фраза неоспорима > А вот сабжу неможно переходить обратно, потому что они поделка, а невозможность > втроем мейнтенить здоровенную репу просто отговорка неосиляторов? их трое, потому что никто не видит смысла в их шатаниях -> их шатания следствие... за них этот круг никто не разорвет. > В общем, внятно аргуменировать и логично обосновать свою точку зрения ты не осилил. Да что ты говоришь, редко приходится констатировать чтото более логичное. > Так бы сразу и писал "Дибиан лудьший и рулит! честно тебе скажу, дебиан 3-й с конца в моем личном рейтинге.
	Ответить \| Правка \| ^ к родителю #33 \| Наверх \| Cообщить модератору

3. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+/–
Сообщение от 33333333 on 30-Апр-18, 21:17
еще один повод для меня пересобрать libressl с git pull после обновления 16.04.4 ЛТС до 18.04 :)
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	4. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+5 +/–
	Сообщение от A.Stahl (ok) on 30-Апр-18, 22:09
	Ещё раз собери. И ещё раз. На всякий случай.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	20. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+1 +/–
	Сообщение от Какаянахренразница (ok) on 01-Май-18, 05:48
	> после обновления 16.04.4 ЛТС до 18.04 А ты уже обновился? Не страшно?
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	45. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+1 +/–
	Сообщение от 1244444566 on 02-Май-18, 05:15
	нет...не страшно ;) а че боятся то? вся обнова прошла как по маслу.
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору

5. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–1 +/–
Сообщение от Аноним (??) on 30-Апр-18, 22:23
выкидывание кода усложняет систему, ай да выкидыватели
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	6. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+/–
	Сообщение от колобок on 30-Апр-18, 22:51
	Не смогли в миграцию, и только.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору

7. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+2 +/–
Сообщение от Ivan_83 (ok) on 30-Апр-18, 22:59
Поторопился. Во фре тоже перешли на эту версию, щас порты допилят за неделю/месяц. А ISC NTP просто какое то днище. Мне вот не нужно предоставлять сервис времени другим, поэтому я нашёл в хз какой документации параметры и сделал чтобы он биндился только на lo. Проверил, работает. Прошло немного времени и после апдейта ОС вместе с этим демоном работа сломалась. Притом сломалась настолько, что ntpd должен обязательно слушать и обязательно обрабатывать пакеты на том интерфейсе на котором он общается с апстримами. Те смотреть голой жопой в инет обязательно. Про фаер я слышал, но это костыльное решение ля купирования проблемы, а на рабочих станциях я фаер не держу. Поставил OpenNTPd. Конфиг простейший и понятный. Не хочешь предоставлять точно время другим - не биндишься к интерфейсам и оно спокойно себе работает. Ещё раз убедился что в ISC сплошные плохие кодеры, всегда обходил ихний дхцп и днс (бинд) стороной, знал бы про ntp - избежал бы траты кучи времени.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	9. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–2 +/–
	Сообщение от Michael Shigorin (ok) on 30-Апр-18, 23:05
	Просто к сведению: на линуксе isc-шный умеет пользоваться "подкруткой времени" в ядре и плавно его выводить на точное, ну а openntpd лупит кувалдой, как умеет, не заморачиваясь ерундой вроде монотонности системных часов.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	11. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–1 +/–
	Сообщение от Ivan_83 (ok) on 30-Апр-18, 23:25
	Я в курсе, но мне оно не критично. Монотонность обеспечивается в таймерах, там аптайм считается.
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	13. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+5 +/–
	Сообщение от PereresusNeVlezaetBuggy (ok) on 30-Апр-18, 23:59
	> Просто к сведению: на линуксе isc-шный умеет пользоваться "подкруткой времени" в ядре > и плавно его выводить на точное, ну а openntpd лупит кувалдой, > как умеет, не заморачиваясь ерундой вроде монотонности системных часов. Откуда дровишки? Плавная подстройка (при поддержке ядра) в OpenNTPd есть давно, может, это где-то сборка криво происходит?
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	15. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–1 +/–
	Сообщение от Аноним (??) on 01-Май-18, 03:02
	Зато весь ISCшный софт являет собой пример монструозного энтерпрайзного оверинжиниринга. Наиболее эпично они конечно в BIND 10 оттянулись, но и остальной софт - очень в духе. И поэтому "радует" огромным attack surface и багодромом, кучей зависимостей, уроном для приваси и прочими характерными "прелестями". А openntpd - выгодно отличается мелким кодом и "security in mind". Мелкая прожка, которая делает только то что обещала. И как максимум - ну может через нее систему накрайняк левым временам накормят. Что наверное лучше чем remote code execution, которым по жизни отличается софт от ISC из-за смеси монструозности и увлечения наворачиванием фич с пофигом на безопасность. Что для сетевого софта все-таки критично.
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	22. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+/–
	Сообщение от Аноним (??) on 01-Май-18, 09:37
	Вот еще прекрасная NTP-реализация: DragonFly has its own from-scratch time daemon. After pulling our hair out over the many issues with open source time daemons we decided to write one by ourselves and add new system calls to support it. dntpd(8) uses a double staggered linear regression and correlation to make time corrections. It will also properly deal with network failures (including lack of connectivity on boot), duplicate IPs resolved by DNS, and time source failures (typically 1 second off) when multiple time sources are available. The linear regression and correlation allows dntpd(8) to make rough adjustments and frequency corrections within 5 minutes of boot and to make more fine-grained adjustments at any time following when the linear regression indicates accuracy beyond the noise floor.
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	46. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+/–
	Сообщение от Аноним (??) on 02-Май-18, 10:15
	> Вот еще прекрасная NTP-реализация: Она работает в Linux? И описание - довольно странное, чтоли. Какие-то "5 minutes after boot". А почему не минуту? Или не полчаса? И почему именно "after boot"? Это их "properly deal" включает в себя например сетку в ауте первые два часа после загрузки? Или wakeup из suspend to RAM вместо "boot"? Ну там лаптоп какой-нибудь с intermittent connectivity и спячкой - как на него такая логика ложится? Ну вот вообще совсем нихрена не очевидно из такого описания. Openntpd не пытается сильно умничать, поэтому и сильных сюрпризов вроде не подкидывает. У NTPD именно алгоритмы синхронизации и коррекции часов довольно крутые. Но он в результате перерос в огромного монстра. С какими там еще керберосами, всякой полудекоративной "типа-секурити" и чем там еще. Явно лишним для выполнения задачи подкорректировать часы.
	Ответить \| Правка \| ^ к родителю #22 \| Наверх \| Cообщить модератору


	31. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+/–
	Сообщение от Аноним (??) on 01-Май-18, 16:32
	а когда isc-шный научится НЕ переводить время в давнее прошлое (делая невалидные взломанные сертификаты снова валидными)? это ведь простейшее действие -- спросить у гугл-сервера текущее время
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	41. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–1 +/–
	Сообщение от YetAnotherOnanym (ok) on 01-Май-18, 19:50
	В наших краях время положено спрашивать у серверов ВНИИФТРИ.
	Ответить \| Правка \| ^ к родителю #31 \| Наверх \| Cообщить модератору


	47. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	–1 +/–
	Сообщение от Аноним (??) on 02-Май-18, 10:19
	> В наших краях время положено спрашивать у серверов ВНИИФТРИ. Да что уж там, у ВНИИ Химических Удобрений и Ядохимикатов.
	Ответить \| Правка \| ^ к родителю #41 \| Наверх \| Cообщить модератору


	49. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+/–
	Сообщение от Аноним (??) on 02-Май-18, 23:11
	> В наших краях время положено спрашивать у серверов ВНИИФТРИ. Кем положено?
	Ответить \| Правка \| ^ к родителю #41 \| Наверх \| Cообщить модератору


	10. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+2 +/–
	Сообщение от xm (ok) on 30-Апр-18, 23:22
	Короче, ещё один не осилил конфиг NTP и понаписал кучу ерунды, которую даже разбирать желания нет.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	12. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+1 +/–
	Сообщение от Ivan_83 (ok) on 30-Апр-18, 23:30
	Осилил и пользовался много лет. Но встал вопрос что на рабочих станциях я не желаю предоставлять сервис точного времени и использовать фаер. В конфиге кое как нашлись опции для этого, но вскоре сломались. В общем я не хочу и не будут тратить больше своё время на поделия ISC, оно того не стоит.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	14. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+2 +/–
	Сообщение от angra (ok) on 01-Май-18, 02:33
	Ты так хорошо его осилил, что даже не заметил в документации раздел ACL и пошел сразу рубить бинды?
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	18. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+1 +/–
	Сообщение от Аноним (??) on 01-Май-18, 05:10
	За ACL в приложениях нужно сажать
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору


	19. "Проект HardenedBSD возвращается с LibreSSL на OpenSSL"	+1 +/–
	Сообщение от Ivan_83 (ok) on 01-Май-18, 05:27
	Если ставить игнорировать запросы - синхронизация тоже отваливается. ACL подразумевает обработку запросов, это как возможность для DoS так и потенциальная дырка, если там в очередной раз уязвимость найдут. Уязвимости в ntpd за последние 10 лет находили более 10 раз, притом там часто за раз была не одна узявимость а несколько. Это одна из лидирующих по дыркам служб во фре.
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору