I två inlägg 2009-01-12 och 2009-01-13 diskuteras säkerhetsrisker med OpenSSL och hur de kan hanteras. Jag menade att OpenSSL och liknande bibliotek måste kapslas in i moderna applikationer och att man måste utgå från att mängder av ej dokumenterade säkerhetshål finns. Dessutom kan de vara kända just av personer som kan tänkas missbruka dem därför att dessa kan vara beredda att systematiskt söka efter dem.
Problemen OpenSSL har p.g.a. ostrukturerad gammal C-kod ingen normal människa kan få en överblick över diskuterades först i:
Andra problem runt OpenSSL och lösning i form av inkapsling (och flera andra säkerhetsfrågor) diskuterades sedan i:
Google: OpenSSL + NSS och SSL i Chrome + Native Client + Ratproxy
Där kan tilläggas att Google har en spännande egenutvecklad lösning för just inkapsling:
Native Client: A Technology for Running Native Code on the Web
Den tror jag kan vara mycket värdefull även i Chrome avseende körning av bibliotek, plugins m.m. för att visa bilder, visa video, tolka certifikat o.s.v.
Nu såg jag att ett nytt säkerhetshål i SSL upptäckts och visats publikt. Här handlade det om jag tolkade ett par nyheter jag läste rätt om ett problem med haschfunktionen MD2:
Researchers exploit flaws in SSL, domain authentication system
Jag har absolut inte sökt någon statistik men jag misstänker ändå att det inte hör till det vanligaste att MD2 används i X.509 certifikat. Fast problem har redan upptäckts i MD5 som jag tror är ganska vanlig.
MD5 implementerade jag förövrigt i javascript en gång i tiden. Kanske 2007 eller 2008?
Foto:
Kommentera