| |
| 2.3, leibniz (ok), 17:49, 11/12/2020 [ответить]
| +10 +/– |
 Кто же лучший генератор шаблонных комментариев?
| | |
|
| |
| |
| 3.33, Аноним (-), 23:42, 11/12/2020 [^] [^^] [^^^] [ответить]
| +6 +/– | |
> Fedora 31 через переполнение буфера в telnetd
рудхат, прудашкн, огрызки, кукареку...
| | |
|
| 2.27, Аноним (27), 21:40, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
Вроде бы, разнос его по этому поводу был давно. Почему только в этом году премию дали?
| | |
| |
| 3.46, Аноним (46), 10:29, 12/12/2020 [^] [^^] [^^^] [ответить]
| –1 +/– |
Видимо, пошел как замена реальному факапу какой-нибудь мозиллы, мс, ораклу или тупо Поттеринга. Для отвлечения так сказать
| | |
| 3.74, freehck (ok), 12:22, 14/12/2020 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Я конечно могу ошибаться, но емнип в 2005м это нельзя было эксплуатировать, потому что дефолты ограничивали ресурсы qmail-smtpd. Сейчас же проблему переоткрыли под другим углом: оказалось, что аналогичный дефект есть в qmail-local, а он уже не ограничен по ресурсам. Ну то бишь это на самом деле другая проблема, которая вскрылась недавно. И той же её можно считать только при поверхностном рассмотрении.
Я также не уверен, что в данном случае это будет рассмотрено как проблема кода, поскольку Дэниел может вполне себе воспользоваться тем же приёмом, что и в прошлый раз: мол, если не выставили ограничения ресурсов -- то сами себе буратины. В принципе позиция djb понятна: qmail -- это знаковый проект Дэниела, презентующий его как специалиста в области ИБ. Отсутствие критических ошибок в нём с 1997го года -- это его пиар. =)
Но хочу отметить, что за новостями по Бернштейну и его творчеству не слежу, так что могу чего-то не знать. Имхо, если он сейчас выйдет и скажет "да, если бы я предусмотрел это в коде, не надо было бы ресурсы ограничивать", то всё равно за ним уже 23 года "идеального" кода будет. Но пиар есть пиар. )
| | |
| |
| 4.76, _ (??), 22:54, 14/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
Идеального?!
Почти все продукты профессора - tаxi-бе, а уж ку-мыло то - точно уберОНО! :)
| | |
|
|
| 2.63, Notius (?), 03:15, 13/12/2020 [^] [^^] [^^^] [ответить]
| –2 +/– |
Да с djb-то как раз всё понятно. Ну не получится прислать ему письмо, где одна строка конверта будет четыре гигабайта. Или кто-то в здравом уме на почтовом сервере не устанавливает ограничения по памяти на процесс?
| | |
| |
| 3.69, Notius (?), 21:53, 13/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
А вот интересно, минусуют те, кто предпочитает дождаться, пока oom killer убьет невиновного, или по каким-то другим мотивам?
Я ведь хорошо помню первый разбор этой «уязвимости», которой невозможно воспользоваться на реальном почтовом сервере. Работает только в лабораторных условиях и локально.
| | |
|
|
| 1.9, Kuromi (ok), 19:21, 11/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 "Самая ламерская реакция производителя (Lamest Vendor Response)."
Ламерский тут перевод. Lamest - Глупейшая\Тупейшая реакция
| | |
| |
| 2.40, n00by (ok), 08:18, 12/12/2020 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Ламер не видит границ собственной компетенции, строит из себя специалиста, тогда как таковым не является. http://www.jargon.net/jargonfile/l/lamer.html
Так что перевели верно (насколько корректно присвоена номинация -- это другой вопрос; учтите, она касается реакции, а не личности). Наиболее близкое по смыслу слово -- шарлатан, но его традиционно применяют к продавцам ослиной мочи под видом эликсира бессмертия (то есть шарлатан осознаёт, что обманывает).
| | |
| 2.48, threescarth (ok), 10:52, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
 Ты бы сперва узнал про то, что слова могут заимствоваться из одного языка в другой, а потом хамил автору перевода в следующий раз.
| | |
| |
| 3.60, Kuromi (ok), 17:21, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
> Ты бы сперва узнал про то, что слова могут заимствоваться из одного
> языка в другой, а потом хамил автору перевода в следующий раз.
Это вы про "заимствования" вроде "преферать слайсить над целым писом" ? Нет спасибо.
| | |
| |
| 4.75, Душный типок (?), 13:59, 14/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
Ну так не юзай заимствования, раз так их хейтишь. А другим позволь выражаться так, как им угодно.
>> преферать слайсить над целым писом
Во-первых: ничего не понятно.
Во-вторых: это нельзя считать заимствованиями в русском языке, т.к. широта их расспространения очень невелика, и используется либо совсем уж узким кругом лиц, либо же вообще только тобой и в рамках этого комментарии. Иностранное слово можно считать заимствованием только когда большинство носителей языка, заимствующего слово, понимают его значение. Т.е. "компьютер", "хейтить", "трек", "стикер" - заимствования. А всякие "переферы", "скейлы", "писы" и "нэйберхуды" - нет.
"Ламер" попадает под иную категорию - это профессиональный сленг. И его вполне уместно использовать в кругу лиц, которые этот сленг понимают. Мамины опеннетеры, я полагаю, входят в их число, так что никакого криминала тут нет.
Но энивэй, хейтерс гонна хейт.
| | |
|
|
|
| 1.10, Аноним (10), 19:25, 11/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Чет странно, что systemd в этом году не взяло хотя бы несколько номинаций.
| | |
| |
| 2.12, Аноним (7), 19:36, 11/12/2020 [^] [^^] [^^^] [ответить]
| +6 +/– |
В соседней новости отмечено гуглом как критически важный проект. trollface.webp
| | |
| 2.16, Аноним (16), 20:49, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
> Чет странно, что systemd в этом году не взяло хотя бы несколько номинаций.
Бернштейн ничем не хуже Поттеринга.
| | |
|
| 1.11, Аноним (11), 19:34, 11/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +8 +/– |
- встраиваемые устройства
- с прошивкой на базе Fedora 31
- в telnetd
Это скорее номинант на "самая ненужная уязвимость".
| | |
| |
| 2.14, пох. (?), 20:21, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
> Это скорее номинант на "самая ненужная уязвимость".
Да вот не скажи - поскольку про все остальные можно махнуть рукой и забыть (вендоры попатчили сто лет как, или никем нигде давно не используется, или "опять хромог") а тут как-то остается осадочек - какая ж это именно индусская макака и в каком ненужном(ли?) гаджете ухитрилась ЭТО сделать одновременно (и еще, небось, привычным жестом отключив selinux) ?
Вот что это вообще могло бы такое быть?! 8-O
| | |
| |
| 3.24, Аноним (26), 21:06, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
> Вот что это вообще могло бы такое быть?! 8-O
Most WTF award! Xтобы это взломать, сперва придется это у себя установить, потому что врядли удастся это найти где-нибудь еще.
| | |
| |
| 4.28, пох. (?), 21:50, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
Где бы взять твоей уверенности в том, что китайско-индусский коллектив уже не понаустанавливал :-(
Вот откуда вообще взялась такая комбинация? Точно-точно не в дикой природе изловлено?
| | |
| |
| 5.35, Аноним (-), 00:40, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
> Где бы взять твоей уверенности в том, что китайско-индусский коллектив уже не понаустанавливал :-(
Ни разу не встречалось. Удачи в поиске.
> Вот откуда вообще взялась такая комбинация? Точно-точно не в дикой природе изловлено?
Вопрос в количестве этого добра, не похоже что сильно массовое.
| | |
| |
| 6.44, пох. (?), 10:01, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
железок, управляемых телнетом тебе ни разу не встречалось?
А про все остальное - к сожалению, можно только пытаться угадать.
Мож у китайцев звер-CD ходит по рукам с доходчивой инструкцией по установке в каждый холодильник и шибкоумную лампочку...
То ись я на измене не из-за телнета, а как раз из-за того, что, похоже, нашелся ненормальный, всунувший одноразовый дистрибутив в эмбедовку. И, возможно, тыщи их.
| | |
| |
| 7.55, Аноним (-), 16:15, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
> железок, управляемых телнетом тебе ни разу не встречалось?
Сейчас ssh уже как правило - даже в совсем китайских мыльнцах за 20 у.е..
> Мож у китайцев звер-CD ходит по рукам с доходчивой инструкцией по установке
> в каждый холодильник и шибкоумную лампочку...
Для такого комбо проца и памяти надо сильно больше чем китайская жаба позволяет.
> того, что, похоже, нашелся ненормальный, всунувший одноразовый дистрибутив в эмбедовку.
> И, возможно, тыщи их.
Дистров может быть. А железок должно быть не сильно много. Особенно на федоре, которая для этого подходит чуть лучше чем фекалии для пуль
| | |
| |
| 8.71, 1 (??), 10:50, 14/12/2020 [^] [^^] [^^^] [ответить] | +/– | А в американских - далеко не всегда, особенно поставляемых в эрефию Законы адна... текст свёрнут, показать | | |
|
|
|
|
|
|
|
| 1.13, Аноним (11), 19:37, 11/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +12 +/– |
- Самый большой провал (Most Epic FAIL)
- компании Microsoft
- CVE-2020-0601
- позволяющую сгенеровать закрытые ключи на основе открытых ключей
Это номинант на категорию "внезапно спалившаяся фича".
| | |
| |
| 2.19, Аноним (16), 20:53, 11/12/2020 [^] [^^] [^^^] [ответить]
| +1 +/– |
Стали бы гиганты IT-индустрии форсировать переход на HTTPS, если бы оно ограничивало им (и дружественному им майору) доступ к данным пользователей? Вряд ли.
| | |
| 2.77, Аноним (77), 16:42, 17/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
вообще все асиметричные алгоритмы позволяют это сделать. сюрприз ?.. вопрос только в сложности - достаточно чуть чуть ошибиться, как все становится очень легко.
| | |
|
| 1.15, YetAnotherOnanym (ok), 20:38, 11/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 > легендарный Дэниел Бернштейн
О, вот это в кассу. Будет чем троллить его фанатов из числа малолетних свидетелей tor, VPN, IM с e2e-шифрованием и прочих криптоништяков для рванья системы.
| | |
| |
| 2.18, Аноним (18), 20:52, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
Вообще охренеть, 1 ошибку за чертову кучу времени влепил. Может быть, стоит сравнить сколько ошибок за то же время эти самые тролли понаделали? :)
А криптоништяки что, они свое дело делают. И пользуются ими именно поэтому. Кстати, большинство крипто там использует вовсе не DJBшные либы, а какой-нибудь libsodium или что там еще, от совершенно посторонних людей. Но чтобы троллить в такой ерунде можно и не разбираться :)
| | |
| |
| 3.20, Аноним (16), 20:56, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
Одну? Навскидку, CVE-2012-1191, CVE-2009-0858, CVE-2008-4392 — и это только djbdns.
| | |
| |
| 4.22, Аноним (-), 21:00, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
Только. Хм. А что если сравнить с другими программами этого типа?
Там, кажется, есть два вида всего:
- В десятки раз хуже.
- Нахрен не впершиеся, а потому необследованные.
Так то поставить васянднс можно и его даже может и не хакнут конечно - но только потому что пыхтеть с исследованием васяноподелки у 10 человек на всю планету хакерам было совсем уж неинтересно, какой с этой возни профит?
| | |
| |
| 5.53, Аноним (53), 13:32, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
Важно уточнить, что на защиту через незнание расчитывать не стоит. Всегда найдётся кто-то, кто будет атаковать не васянднс, а то, за чем он стоит
| | |
| |
| 6.56, Аноним (-), 16:16, 12/12/2020 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Важно уточнить, что на защиту через незнание расчитывать не стоит. Всегда найдётся
> кто-то, кто будет атаковать не васянднс, а то, за чем он стоит
Ну так при этом не так уж и важно какой там днс тогда. Все-равно скорее всего вот оно - сильно дырявее.
| | |
|
|
| 4.23, Аноним (-), 21:03, 11/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
> Одну? Навскидку, CVE-2012-1191, CVE-2009-0858, CVE-2008-4392 — и это только djbdns.
1) Как это относится к DJBшному крипто
2) можешь MSовским крипто пользоваться, из номинации пониже, если так тебе безопаснее.
| | |
|
| 3.37, Аноним (37), 01:16, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
libsodium - это форк nacl, а nacl - как раз либа, созданная djb.
| | |
| |
| 4.59, Аноним (-), 16:23, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
> libsodium - это форк nacl, а nacl - как раз либа, созданная djb.
Это такой весьма условный форк - перепахавший все вдоль и поперек, оптимизированный и все такое. И кстати вот там уже вопрос сравнимо ли это с кодом DJB и сколько новых багов в этом процессе там влепили.
А так DJBшное добро влезает в tweetnacl, который можно по сути наизусть выучить. Покажите мне в ЭТО бэкдор? Там кода мизер и его можно самому прочитать от и до.
| | |
|
| |
| 4.57, Аноним (-), 16:17, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– | |
> Ога. Сноуден подтверждаэ.
Ну так давай пруфлинк где там хоть звук про DJB и его крипто в его сливах. А то там почему-то только про NIST'овские "стандартные" кривые и прочие хайтечные игрушки NSA.
| | |
| |
| 5.61, YetAnotherOnanym (ok), 19:01, 12/12/2020 [^] [^^] [^^^] [ответить]
| +1 +/– | |
А я разве упомянул Сноудена применительно к Бернштейну? Речь шла о криптоништяках, которые "свое дело делают". А то, что свидетели криптоништяков одновременно с этим являются фанатами Бернштейна и легко ведутся на троллинг, если затронут их кумир - это как раз ты и показал.
| | |
|
|
|
| 2.70, freehck (ok), 08:07, 14/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
>> легендарный Дэниел Бернштейн
> О, вот это в кассу. Будет чем троллить его фанатов из числа малолетних свидетелей tor, VPN, IM с e2e-шифрованием и прочих криптоништяков для рванья системы.
Ой да ладно. Сомнительно как-то pwned. Но ДАЖЕ если признать новую обнаруженное поведение qmail-local как pwned -- то всё равно, 23 года в зачёт Даниелю. Это уже нереально долгий срок. =)
| | |
|
| 1.17, Аноним (18), 20:49, 11/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– |
> встраиваемые устройства с прошивкой на базе Fedora 31
> через переполнение буфера в telnetd.
Это в порядке глума над хакерами? Типа, попробуйте вообще это где-нибудь найти, кроме своего тестового сетапа?! Trololo awards!
| | |
| |
| 2.30, Атон (?), 22:18, 11/12/2020 [^] [^^] [^^^] [ответить]
| +1 +/– |
уязвимость в федоре, но вот почему то патчи и фиксы распространяются в виде пакетов для дебианов... :)
| | |
| |
| 3.36, Аноним (-), 00:48, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
> уязвимость в федоре, но вот почему то патчи и фиксы распространяются в
> виде пакетов для дебианов... :)
Может быть, они все-таки не смогли найти такое именно с федорой? Или они заодно решили троллануть на тему alien :)
| | |
|
|
| 1.21, Аноним (-), 20:56, 11/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> получить права администратора в
> контроллере домена Windows или Samba.
Astrologists proclaim week of Comodohackers. Comodohackers population DOUBLED!
| | |
| 1.38, ИмяХ (?), 05:30, 12/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Насчёт qmail: а в самом деле, нахрена почте 64 бита? Что это за почта такая?
| | |
| |
| 2.43, Tsemi (?), 09:29, 12/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
Это чтобы ты дорогой мог прислать мне эмодзи и свой большой HTML
| | |
| |
| 3.64, Notius (?), 03:25, 13/12/2020 [^] [^^] [^^^] [ответить]
| –2 +/– |
Если мне не изменяет память, на тело письма как раз ограничений нет, ошибка возникает при обработке строки конверта длиннее четырех гигабайт. Да раньше система процесс прибьет, поскольку лимиты обычно стоят разумные, а не «побольше, побольше».
| | |
|
|
| 1.42, Аноним (42), 08:34, 12/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
Самый большой провал (Most Epic FAIL). Премия присуждена компании Microsoft....
"Не баг, а фича!" - дружно вскричали сотрудники СпецСлужб. ^_^
| | |
| |
| 2.47, Аноним (47), 10:42, 12/12/2020 [^] [^^] [^^^] [ответить]
| –1 +/– | |
>> "Не баг, а фича!" - дружно вскричали сотрудники СпецСлужб. ^_^
Они там небось ставки делают и соревнуются кто лучше "спрячет" на виду у всех очередную такую фичу.
Немного обидно, когда твою работу десятилитями никто не замечает, ну, кроме нескольких сотрудников.
| | |
| |
| 3.73, Аноним (-), 12:06, 14/12/2020 [^] [^^] [^^^] [ответить]
| +/– |
безопасность для всех, неполная проверка ecdsa сертов на основе публичного ключа в одной криптолибе могла подставить другие летсдекрипт инициативы при проверках на бордерах, например.
| | |
|
|
| 1.45, Аноним (45), 10:16, 12/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
> Премия присуждена компании Microsoft за уязвимость (CVE-2020-0601) в реализации цифровых подписей на основе эллиптических кривых, позволяющую сгенеровать закрытые ключи на основе открытых ключей.
Неудачно замаскированная стандартная заказная фича. Все так делают, но попался в этом году Microsoft.
| | |
| |
| 2.52, Аноним (-), 13:17, 12/12/2020 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Первые версии Internet Explorer имели логотип с земным шаром, который крутился в обратную сторону.
Ты точно уверен, что Майкрософт тупо не лажанулся?
| | |
|
| 1.67, Аноним (-), 16:49, 13/12/2020 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
>> Самый большой провал (Most Epic FAIL). Премия присуждена компании Microsoft за уязвимость (CVE-2020-0601) в реализации цифровых подписей на основе эллиптических кривых, позволяющую сгенерировать закрытые ключи на основе открытых ключей. Проблема позволяла создать поддельные TLS-сертификаты для HTTPS и фиктивные цифровые подписи, которые верифицировались в Windows как заслуживающие доверия.
А как она эксплуатируется? Этим может воспользоваться какой-то "левый процесс" на атакуемой машине? Или - зловред на стороне ISP?
Как узнать уязвима ли моя система?
| | |
|
