Chleachd na hackers feart den phròtacal OpenPGP a tha air a bhith aithnichte airson còrr is deich bliadhna.
Innsidh sinn dhut dè a’ phuing a th’ ann agus carson nach urrainn dhaibh a dhùnadh.
/Thoir às/
Duilgheadasan lìonra
Ann am meadhan an Ògmhios, neo-aithnichte gu lìonra de phrìomh luchd-frithealaidh criptografach , air a thogail air protocol OpenPGP. Is e seo inbhe IETF (), a tha air a chleachdadh gus post-d agus teachdaireachdan eile a chrioptachadh. Chaidh lìonra SKS a chruthachadh o chionn trithead bliadhna gus teisteanasan poblach a sgaoileadh. Tha e a’ toirt a-steach innealan leithid airson dàta a chrioptachadh agus a bhith a’ cruthachadh ainmean-sgrìobhte didseatach dealanach.
Chuir hackers an aghaidh teisteanasan dithis neach-gleidhidh pròiseact GnuPG, Robert Hansen agus Daniel Gillmor. Le bhith a’ luchdachadh teisteanas truaillidh bhon t-seirbheisiche bidh GnuPG a’ fàiligeadh - bidh an siostam dìreach a’ reothadh. Tha adhbhar ann a bhith a’ creidsinn nach stad an luchd-ionnsaigh an sin, agus nach àrdaich an àireamh de theisteanasan a chaidh an sàs ach. Aig an àm seo, tha ìre na trioblaid fhathast neo-aithnichte.
Tha brìgh an ionnsaigh
Ghabh hackers brath air so-leòntachd anns a’ phròtacal OpenPGP. Tha i air a bhith aithnichte don choimhearsnachd airson deicheadan. Fiù 's air GitHub buannachdan co-fhreagarrach. Ach gu ruige seo chan eil duine air uallach a ghabhail airson an “toll” a dhùnadh (bruidhnidh sinn mu na h-adhbharan nas mionaidiche nas fhaide air adhart).
Taghadh no dhà bhon bhlog againn air Habré:
A rèir an t-sònrachadh OpenPGP, faodaidh duine sam bith ainmean-sgrìobhte didseatach a chur ri teisteanasan gus an sealbhadair aca a dhearbhadh. A bharrachd air an sin, chan eil an àireamh as motha de ainmean-sgrìobhte air a riaghladh ann an dòigh sam bith. Agus an seo tha duilgheadas ag èirigh - leigidh lìonra SKS leat suas ri 150 mìle ainm-sgrìobhte a chuir air aon teisteanas, ach chan eil GnuPG a ’toirt taic do leithid de àireamh. Mar sin, nuair a bhios tu a’ luchdachadh an teisteanais, bidh GnuPG (a bharrachd air buileachadh OpenPGP eile) a’ reothadh.
Aon de na cleachdaichean - thug e timcheall air 10 mionaidean dha toirt a-steach an teisteanais. Bha còrr air 54 mìle ainm-sgrìobhte air an teisteanas, agus b’ e a chuideam 17 MB:
$ gpg --homedir=$PWD --recv C4BC2DDB38CCE96485EBE9C2F20691179038E5C6
gpg: key F20691179038E5C6: 4 duplicate signatures removed
gpg: key F20691179038E5C6: 54614 signatures not checked due to missing keys
gpg: key F20691179038E5C6: 4 signatures reordered
gpg: key F20691179038E5C6: public key "Daniel Kahn Gillmor <[email protected]>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg: imported: 1
$ ls -lh pubring.gpg
-rw-r--r-- 1 filippo staff 17M 2 Jul 16:30 pubring.gpg
Gus cùisean a dhèanamh nas miosa, cha toir prìomh luchd-frithealaidh OpenPGP air falbh fiosrachadh teisteanais. Tha seo air a dhèanamh gus an urrainn dhut an t-sreath de gach gnìomh a lorg le teisteanasan agus casg a chuir air an àite. Mar sin, chan eil e comasach cuir às do eileamaidean co-rèiteachaidh.
Gu bunaiteach, tha lìonra SKS na “fhrithealaiche faidhle” mòr far an urrainn do dhuine sam bith dàta a sgrìobhadh. Gus an duilgheadas a nochdadh, an-uiridh neach-còmhnaidh GitHub , a bhios a’ stòradh sgrìobhainnean air lìonra de phrìomh luchd-frithealaidh criptografach.
Carson nach deach an so-leòntachd a dhùnadh?
Cha robh adhbhar sam bith airson an so-leòntachd a dhùnadh. Roimhe sin, cha deach a chleachdadh airson ionnsaighean hacker. Ged a tha a 'choimhearsnachd IT Bu chòir do luchd-leasachaidh SKS agus OpenPGP aire a thoirt don duilgheadas.
Gus a bhith cothromach, is fhiach a bhith mothachail gu bheil iad fhathast san Ògmhios prìomh fhrithealaiche deuchainneach . Tha e a 'toirt dìon an aghaidh a leithid de ionnsaighean. Ach, tha an stòr-dàta aige làn sluaigh bhon fhìor thoiseach, agus chan eil am frithealaiche fhèin na phàirt de SKS. Mar sin, bheir e ùine mus gabh a chleachdadh.
/Thoir às/
A thaobh a’ bhiast san t-siostam tùsail, tha inneal sioncronaidh iom-fhillte a’ cur casg air bho bhith air a chàradh. Chaidh am prìomh lìonra frithealaiche a sgrìobhadh an toiseach mar dhearbhadh air bun-bheachd airson tràchdas PhD Yaron Minsky. A bharrachd air an sin, chaidh cànan caran sònraichte, OCaml, a thaghadh airson na h-obrach. Le bhith neach-gleidhidh Robert Hansen, tha an còd duilich a thuigsinn, agus mar sin chan eil ach mion-cheartachaidhean air an dèanamh air. Gus ailtireachd SKS atharrachadh, feumaidh e a bhith air ath-sgrìobhadh bhon fhìor thoiseach.
Co-dhiù, chan eil GnuPG den bheachd gun tèid an lìonra a chàradh gu bràth. Ann an post air GitHub, sgrìobh an luchd-leasachaidh eadhon nach eil iad a 'moladh a bhith ag obair le SKS Keyserver. Gu fìrinneach, is e seo aon de na prìomh adhbharan airson gun do thòisich iad air gluasad gu seirbheis ùr keys.openpgp.org. Chan urrainn dhuinn ach coimhead air tuilleadh leasachaidh air tachartasan.
Stuth no dhà bhon bhlog corporra againn:
Source: www.habr.com