https://www.opennet.ru/openforum/vsluhforumID3/116538.html Исследователи из компании NCC Group раскрыли (https://www.nccgroup.trust/us/about-us/newsroom-and-events/blog/2019/february/downgrade-attack-on-tls-1.3-and-vulnerabilities-in-major-tls-libraries/) сведения (https://eprint.iacr.org/2018/1173) (PDF (https://eprint.iacr.org/2018/1173.pdf)) о новой атаке по сторонним каналам, позволяющая через анализ остаточных данных в процессорном кэше восстановить содержимое каналов связи, зашифрованных при помощи протоколов TLS и QUIC. Проблема в том числе затрагивает протокол TLS 1.3. Атака может применяться на многопользовательских системах для перехвата зашифрованных сеансов других пользователей, при наличии контроля за транзитным трафиком жертвы (для атаки необходимо выполнение кода на том же CPU и контроль за сетевым шлюзом, например, через организацию подключения клиента к фиктивной точке доступа). <br><br><br><br><br>Атака позволяет восстановить шифротекст, зашифрованный при помощи RSA-ключа, через анализ добавочного заполнения (padding oracle), используемого для выравнивания за https://www.opennet.ru/openforum/vsluhforumID3/116538.html#22 Thu, 14 Feb 2019 12:06:04 GMT А что там раскрывать, кривой форк от левых чуваков<br> https://www.opennet.ru/openforum/vsluhforumID3/116538.html#21 Mon, 11 Feb 2019 14:46:21 GMT -----BEGIN PGP SIGNED MESSAGE-----<br>Hash: SHA256<br><br>&gt; И потом ыксперты тут говорят, что никакой проблемы в открытом http нет. <br>&gt; Пускай котики бегают, религия не позволяет шифровать и тратить 0.01% cpu.<br><br>Это потому что еще ранее Ыксперты заучили мантру "аутентификация совсем-совсем не нужна, если шифровать канал, поэтому можно и нужно сэкономить 0.001% CPU!". <br>В итоге, до сих пор нет нормальной авторизации/аутентификации в стандарте веба, пароли и прочее могут спокойно хранить в плейн -- зато/ведь канал передачи зашифрован!!1<br><br>разъясняю: <br>проблема не в отсутсвии шифрования (содержимое скрипта может узнать любой, обратившийся к тому же серверу), а в отсутсвии аутентификации, когда содержимое подменяется. HTTPS тут не более, чем костыль.<br>Не верящим предлагаю попробовать подменить мое сообщение:<br>-----BEGIN PGP SIGNATURE-----<br><br>iHUEAREIAB0WIQTQaLRjLMt2TTkWkoZ+PeLyUDdO7wUCXGGJWwAKCRB+PeLyUDdO<br>799RAP9Od5K6EBPLx1h2qxCvDoAZtuPTnN1yUc7+r8Tmz+m1bAEAgP4y9YFhRjrZ<br>VHqKm8N8SsjAnN8XK4aaGZ1LeDinu3Y=<br>=vjuZ<br>-----E https://www.opennet.ru/openforum/vsluhforumID3/116538.html#20 Mon, 11 Feb 2019 08:34:51 GMT В АНБ почему-то не то что не спешат их использовать, а спешат их НЕ использовать... для себя.<br>Вот и думай - почему.<br> https://www.opennet.ru/openforum/vsluhforumID3/116538.html#19 Mon, 11 Feb 2019 08:33:12 GMT FU****<br>Извиняюсь, промахнулся, хотел +1 поставить.<br>А по теме - устойчивость эллиптических кривых еще не совсем доказана.<br> https://www.opennet.ru/openforum/vsluhforumID3/116538.html#18 Mon, 11 Feb 2019 05:48:27 GMT следующим этапом развития процессоров- вероятно станет выделение процессора на каждую задачу в монопольном режиме. Ядер сейчас в процессорах- как грязи...и дальше будет больше... так чего мелочится? к том уже разные задачи требуют мягко говоря разной процессорнной мощности. зачем занимать сложное ядро простой задачей? соответственно ядра в процессорах будут тоже разными - 1000 простых ядер, 100 чуть более сложных, 10 сложных... вангую новый виток .искомерятельных тредов...<br> https://www.opennet.ru/openforum/vsluhforumID3/116538.html#17 Mon, 11 Feb 2019 01:00:41 GMT &gt; требующий запуска подконтрольного атакующему JavaScript-кода в браузере жертвы (например, через подстановку кода в любой незашифрованный HTTP-ответ при наличии контроля за транзитным шлюзом)<br><br>И потом ыксперты тут говорят, что никакой проблемы в открытом http нет. Пускай котики бегают, религия не позволяет шифровать и тратить 0.01% cpu.<br> https://www.opennet.ru/openforum/vsluhforumID3/116538.html#16 Mon, 11 Feb 2019 00:09:43 GMT К чему такие глупые коментарии на техническом ресурсе? Не можете что-то дельное сказать - не говорите ниче. Хочется высказаться - валите в соцсети или заведите блог.<br> https://www.opennet.ru/openforum/vsluhforumID3/116538.html#15 Sun, 10 Feb 2019 22:06:39 GMT Помнится, кто-то недавно в комментах к другой новости очень громко кричал, что TLS 1.3 не нужен и совсем-совсем не улучшает безопасность. И отказывался предоставить доказательства, типа как же я предоставлю доказательства отсутствия чего-то.<br> https://www.opennet.ru/openforum/vsluhforumID3/116538.html#14 Sun, 10 Feb 2019 18:59:53 GMT Вот это<br>да<br>