Heartbleed脆弱性の影響とパスワード変更に関する議論

Kenn Ejima @kenn

@Psychs サウジからどのぐらいバブリーな報奨金が出るのか気になるｗ

Kenn Ejima @kenn

@n_soda @kazuho LBのプロセスが全ユーザをロードしている瞬間というのはないと思いますよ。最大でも同時接続数。nginxで1000とかのオーダー。

SODA Noriyuki @n_soda

@kenn @kazuho LB使わず、httpdにSSL処理させてるところも結構あるのでは？いまどき、専用LBでさえハードウェアアクセラレーションとかないx86マシンだったりすることが多いそうですから、LBをhttpdと分けた方が効率的かどうかは自明じゃないと思いますし。

Kazuho Oku @kazuho

blogged / “Kazuho's Weblog: Heartbleed脆弱性と、その背後にあるWebアプリケーションアーキテクチャの一般的欠陥について” http://t.co/tVjmjuL4Qi

Kenn Ejima @kenn

つか、今回の発見者が（ASLRが効いてる64bit環境などでmallocするアドレスが散ってれば）秘密鍵の漏洩はあまり現実的じゃないって言ってるし。でもmallocの中でmmapじゃなくてsbrkが使われてたら予想しやすいよなぁ。そこ切り替わる条件ってなんだっけ。。。

Kenn Ejima @kenn

む、自前管理のfreelistのせいだったのか。。。ASLR効かないし隣接するバッファをオーバーリードするだけだから攻撃コストは低いな。うーん、思ってたよりはやばそう。 http://t.co/z7YL4IEC0Q ぶっちゃけCでこの手の問題は未来永劫なくならんだろうね。

Kenn Ejima @kenn

10万回のリクエストで秘密鍵をゲット、ということは約6.4GBを処理して発掘したってことか。10Mbpsで読み続けたとして90分ぐらい。うーん、アウトですねｗ https://t.co/Hhgx1S2rld

Tatsuhiko Miyagawa @miyagawa

@kenn is it ok if you get it with 1Mbps in 15 hours?

Kenn Ejima @kenn

@miyagawa nope, the barrier is too low.

Tatsuhiko Miyagawa @miyagawa

@kenn oh i thought you meant it's too much of data bandwidth use that's noticeable by server admins.

Kenn Ejima @kenn

@miyagawa It depends. At scale 10Mbps may not be significant. Anyway it's order of magnitude easier than I thought, it should take years.

Tatsuhiko Miyagawa @miyagawa

@kenn right i agree