OpenSSL-Perlen

Re(5): OpenSSL-Perlen

thE — Mon, 05 May 2014 14:18:05 GMT

Wenn ich es richtig verstehe, dann nehmen die als Entropie bei "Subsystemen" den private-Key. Also womit der RNG damit gefüttert wird..

Das ist wirklich Banane.. Wenn dann hätte man einen salted hash vom private key nehmen können.
Aber nur weil es im Kommentar so steht, muss es ja auch nicht 1:1 so sein.. Vielleicht nutzten sie ja eh was "gesalzenes" oder nur den halben private key..

Aber die deutsche "Übersetzung" macht noch weniger Sinn.. Der Chef antwortet mit einer Frage und die Antwort ist "wird so gemacht"? WTF?!?

Re(4): OpenSSL-Perlen

Desolationrob — Mon, 05 May 2014 14:08:46 GMT

auch wenn ich selber nicht ganz kapiere...aber den Code brauchst du dazu auch nicht

Re(3): OpenSSL-Perlen

thE — Tue, 22 Apr 2014 15:08:40 GMT

Und das soll man rauslesen können, wegen dem Kommentar? Weil im commit sehe ich nur die changed files, aber nicht den Source (mit dem ich wenigstens was anfangen könnte).

PS.: Für mich ist das heute noch ein Montag.. Steh heute nur am Schlauch

Re(2): OpenSSL-Perlen

mjy@geizhals.at — Tue, 22 Apr 2014 14:50:22 GMT

Der Witz an der Sache ist der haarträubende, extrem fahrlässige Umgang der OpenSSL-Programmierer mit privaten Schlüsseln.

Re: OpenSSL-Perlen

thE — Tue, 22 Apr 2014 14:28:34 GMT

Ich verstehe nur Bahnhof?

Es wurden paar Files geändert und nun?

OpenSSL-Perlen

mjy@geizhals.at — Thu, 17 Apr 2014 18:14:09 GMT

Der Code muss gut, aber so *richtig* gut gepflegt und untersucht gewesen sein!

http://blog.fefe.de/?ts=adaec147

...