OpenSSL
2 статей с этим тегом
Что такое OpenSSL? Библиотека, которая обеспечивает шифрование HTTPS, и как поддерживать её в безопасности
OpenSSL = открытая библиотека, на которой держатся HTTPS (TLS/SSL) и криптография. Почти никто не пишет её напрямую — её наследуют через веб-сервер, ОС или среду выполнения языка. Поэтому у одного бага огромные последствия (классика — Heartbleed). Защита: знайте, какой OpenSSL использует ваш стек, не работайте на EOL-версиях, включайте фундаментальные библиотеки в мониторинг CVE и патчите без промедления. Даже сертификаты, которые отдаёт этот сайт, прогоняют криптографию через реализацию из семейства OpenSSL внизу.
Heartbleed (CVE-2014-0160) — баг OpenSSL, через который утекала память сервера
Чтение памяти за границей в OpenSSL могло раскрыть приватные ключи и сессии. Причина: сервер доверял заявленной длине и читал соседнюю память. Урок: действуйте так, будто утекло всё (перевыпускайте сертификаты, ротируйте все секреты), отслеживайте широко используемые базовые библиотеки и цените безопасность работы с памятью.