В GnuTLS устранили двухлетнюю уязвимость

В GnuTLS устранили двухлетнюю уязвимость

В GnuTLS устранили двухлетнюю уязвимость

На прошлой неделе разработчики устранили опасную уязвимость в GnuTLS, библиотеке с открытым исходным кодом для имплементации протокола TLS. Самое удивительное, что эта брешь существовала в коде почти два года, следовательно, сессии TLS 1.3 были уязвимы для атаки.

Проблема безопасности, описанная специалистами на площадке GitHub, позволяла серверам GnuTLS использовать билеты сессии, которые были выпущены ещё при прошлом соединении. При этом необязательно было задействовать функцию, которая генерирует закрытые ключи — gnutls_session_ticket_key_generate().

Проще говоря, потенциальный злоумышленник мог использовать данную уязвимость для обхода процесса аутентификации TLS 1.3. Баг впервые появился в GnuTLS 3.6.4 (релиз состоялся 24 сентября 2018 года), а устранили его в GnuTLS 3.6.14 (3 июня 2020 года).

Эндрю Айер, основатель SSLMate, в Twitter подробно расписал своё видение этого бага. По словам Айера, уязвимость создала сложная система ротации ключей.

Впрочем, Айер и раньше высказывался негативно по поводу GnuTLS, называя библиотеку «клоунской» имплементацией TLS.

Подпишитесь на новости

Разработчик Telegram предложил увольнять тех, кто пишет код без ИИ

Разработчик официального клиента Telegram для macOS Майк заявил, что 99,9% кода клиентов мессенджера теперь пишет искусственный интеллект. А программистов, которые продолжают работать вручную, он предложил увольнять.

Свою позицию Майк изложил в обсуждении в Telegram. В качестве примера он привёл сайт gram.org: по его словам, проект создали с помощью ИИ за один день.

Идея понравилась Павлу Дурову, который предоставил домен. Ещё один заявленный результат — адаптация iOS-клиента Telegram под складной iPhone Duo за одну ночь с помощью Claude.

По словам Майка, клиентский код теперь пишут даже дизайнеры, а его отношение к ИИ разделяют 80-90% разработчиков Telegram. Однако участники обсуждения спросили о качестве и безопасности.

Разработчик ответил, что уязвимости тоже ищет и исправляет ИИ, а получающийся код, по его оценке, качественнее написанного людьми. Удобная конструкция: нейросеть написала, нейросеть проверила. Но сравнительных результатов проверки безопасности в публикации нет.

Майк также анонсировал открытие GitHub-репозитория с исходниками клиента для macOS, куда желающие смогут предлагать изменения. Прежний репозиторий не обновлялся больше года.

RSS: Новости на портале Anti-Malware.ru