タグ付けされた質問 「openssl」

今日、攻撃的な OpenSSLエクスプロイトが野生で発表されました。これにより、攻撃者は秘密のサーバーキーを密かに検出して盗むことができます（MitMを許可し、暗号化されたデータを解読し、パスワードを盗みます）。これは、最新のMavericksコンピューター Mac上のバージョンである1.0.1fを含むOpenSSLバージョンに影響します（portssl を使用して、気づかずにopensslを更新した他のソフトウェアをインストールしたため）。 $ openssl version OpenSSL 1.0.1f 6 Jan 2014 これは、OpenSSLのMavericksバージョンを使用していないことを示しています。 $ which openssl /opt/local/bin/openssl OpenSSLは本日、1.0.1gで修正をリリースしましたが、この修正バージョンを現在のバージョンの上にインストールする方法を知りたいのですが？

126 security  software-update  openssl 

影響を受けるバージョンのOpenSSLにはデフォルトでOS Xのどのバージョンが付属していますか？ 現在、すべてのインターネットトラフィックは、環境内のMacintoshに注意を払うことなく、Heartbleedバグに関する同じ一般情報で詰まっています。Mac OS XクライアントとMac OS Xサーバーに関する情報を探しています。現時点では、環境内のすべてのMacで特定のバージョンのOpenSSLを確認することは非現実的ですが、影響を受けるマシンのMac OS Xバージョン情報は既に入手しています。

55 macos  openssl 

最新のOS Xアップデート（10.10.5）で、AppleはOpenSSL 0.9.8を導入しています。私はを通じて閲覧公式のOpenSSLページ、およびそこに私はバージョン1.0.2を得ることができます。 私の質問は、Appleが古いバージョンのOpenSSLを使用しているのはなぜですか？バージョン1.0で廃止された機能のためか、またはその背後にある理由は何ですか？ 出典：Apple Securityページ

16 yosemite  security  openssl 

SMACKという名前の研究グループが、中間者（MITM）攻撃に使用できるFREAKと呼ばれる脆弱性をリリースしました。この脆弱性は、米国政府（より具体的にはNSA）によって作成された古いゴーストが原因であり、数年前に、国境の外で使用されるソフトウェアのエクスポートグレードのキーと呼ばれる、より弱いキーを使用するようにいくつかの組織を説得しましたアメリカの。強力なキーの使用は現在広く普及していますが、いくつかのサーバーは依然としてより弱いキーをサポートしています。 グループは、この脆弱性がクライアントを使用し、弱いキーを介して接続することによって悪用される可能性があることを発見しました。サーバーによってキーが生成されると、サーバーが再起動されるまでキーが再利用されます。このグループは、Amazon EC2を使用して7.5時間でこの脆弱なサーバーキーを解読することができました。これがクラックされると、潜在的にすべての通信が弱いキーを使用するようにダウングレードされ、MITM化される可能性があります。 この攻撃は、主にOpenSSL（例：Android）クライアントとApple TLS / SSLクライアント（Safari）を脆弱なWebサーバーと組み合わせて使用​​しますが、Firefox、Chrome、IEは使用しません。 たとえば、Safariでいくつかの構成ファイルを編集したり、適切なSafari拡張機能を使用したり、バイナリを直接変更して脆弱性をすぐに修正したりして、特にAppleによって更新されていない古いSafariバージョンで、クライアント側で安全でない暗号スイートの一部またはすべてを手動で無効にする方法？まったく可能ですか？ 問題の暗号スイートは次のとおりです。 CipherSuite TLS_RSA_EXPORT_WITH_RC4_40_MD5 = { 0x00,0x03}; CipherSuite TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5 = { 0x00,0x06}; CipherSuite TLS_RSA_EXPORT_WITH_DES40_CBC_SHA = { 0x00,0x08}; CipherSuite TLS_DH_DSS_EXPORT_WITH_DES40_CBC_SHA = { 0x00,0x0B}; CipherSuite TLS_DH_RSA_EXPORT_WITH_DES40_CBC_SHA = { 0x00,0x0E}; CipherSuite TLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA = { 0x00,0x11}; CipherSuite TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA = { 0x00,0x14}; CipherSuite TLS_DH_anon_EXPORT_WITH_RC4_40_MD5 = { 0x00,0x17}; CipherSuite …

10 macos  safari  security  openssl 

使用：Mountain Lion 10.8.2、RVM 1.18.15 、とのトラブルを持って明らかに、opensslRVMを経由してのRuby 2.0.0をインストールしようとすると： $ rvm install 2.0.0 ... Extracting openssl to /Users/meltemi/.rvm/src/openssl-1.0.1c Configuring openssl in /Users/meltemi/.rvm/src/openssl-1.0.1c. Error running './Configure darwin64-x86_64-cc -I/Users/meltemi/.rvm/usr/include -L/Users/meltemi/.rvm/usr/lib zlib no-asm no-krb5 --prefix=/Users/meltemi/.rvm/usr no-shared ', please read /Users/meltemi/.rvm/log/ruby-2.0.0-p0/openssl/configure.log Compiling openssl in /Users/meltemi/.rvm/src/openssl-1.0.1c. Error running 'make', please read /Users/meltemi/.rvm/log/ruby-2.0.0-p0/openssl/make.log それで、brew install opensslopensslを更新し1.0.1eて、それが役立つことを期待しますが、さらに多くのエラーがありました（「長い出力」を参照）。 それで、Stack Exchangeを掘り下げ、この投稿の提案に緩やかに従いrvm get …

8 mountain-lion  ruby  openssl 

OS X（El Capitan）のCでコーディングしようとしていますが、OpenSSLを使用する必要があります。OSにはバージョンが付属してい0.9.8zh 14 Jan 2016ます。 homebrewを使用してopensslをアップグレードおよびインストールしました（バージョン1.0.2hを入手しました）が、正しくリンクして使用できません。これが行われたものです： brew update brew install openssl brew link --force openssl それは私に言ってエラーを与えました Warning: Refusing to link: openssl。 私のパス/usr/local/binは最初のものとして参照します。 このコマンドを実行しました： ln -s /usr/local/Cellar/openssl/1.0.2j/include/openssl /usr/local/include/openssl （ここでこのソリューションを見つけました：El Capitanを含むOpensslなど） エラー出力がなかったので、私はこれが機能すると仮定しました。しかし.. which openssl 私にこの出力を与えます： /usr/local/bin/openssl openssl version 私にこの出力を与えます： OpenSSL 0.9.8zh 14 Jan 2016 私がやろうとしているのは、いくつかのCLIコマンドを実行するか、プレーンviエディタで編集されたCコードを書くことgccです。私はヘッダーファイルにopensslを使用しています #include <openssl/sha.h> #include <openssl/ripemd.h> また、このパスに私を導いたCLIで実行しているコマンドはこれでした（それが役立つ場合）： openssl …

3 macos  el-capitan  homebrew  openssl 

私自身のシステムは、App Storeを通じてAppleのセキュリティが更新される限り完全に「最新」であると思いますが、私のシステムにインストールされているOpenSSLのバージョンは0.9.8zgであり、過去1年間に最新バージョンでしたが、すべてが失われました2015年12月31日のセキュリティサポート。 https://www.openssl.org/news/secadv/20160128.txt VPNを使用し、そのVPNクライアントが別の新しいバージョンのOpenSSL（バージョン1.0.1rなど）にバンドルされている場合、VPNクライアントのバージョンが優先される、つまり最新の-dateバージョンは、ブラウザのネットワーク接続とのネゴシエーションを仲介します。 私の2つの関連する質問は次のとおりです。 （1）これは正確ですか？もしそうなら、OpenSSLの現在のバージョンでVPNを実行することは、OSにインストールされている非推奨バージョンよりも名目上ユーザーを「保護する」ように見えるでしょう？ （2）ユーザーがVPNを持っていない場合、ユーザーはそのセキュリティ層についてOSのみの脆弱なバージョンのOpenSSLに依存していますか？または、OpenSSLの新しいバージョンは、VPNクライアントに「バンドル」されているのと同じように、ブラウザ、Skype、iTunesなどの特定のアプリケーションに何らかの形で「バンドル」されていますか？

1 security  vpn  openssl