Krytyczna luka w openSSH, podatne miliony urządzeń

Рет қаралды 40,039

Күн бұрын

Пікірлер: 108

@andrzejmazur2046 4 ай бұрын

Mateusz, zrobisz objaśnienie tego całego „fakapu” piątkowego? Wolę poczekać na twoją produkcję niż znaleźć coś randomowego

@elektrowniaatomowawczarnob2576 4 ай бұрын

Shorts był chyba

@krzysztofkwiecinski148 4 ай бұрын

Ed z LowLevelLearning po angielsku bardzo sensownie wyrłumaczył mechanizm, aktualizacja kodu wykonywanego na poziomie jądra zawierała same zera, co najprawdopodobniej prowadziło do dereferencji nullpointera i crashu jądra w trakcie ładowania.

@lis6502 4 ай бұрын

nie ma czego objaśniać, chmura + drivery działające w ring0 == fakap, a przynajmniej wysoki potencjalny impakt. Co ciekawe, w infrze którą ja zarządzam linuksowe agenty CS też dostawały "wyzerowane" binarki no ale tam nie ma modułów jądra tylko zwyczajny userspace code, więc po prostu wysypała się usługa flakon-sęsor i tyle ;d

@TheLichy1234 4 ай бұрын

Mam to samo, ale może to nie takie proste? Jak to ma mieć trzy dna jakieś jeszcze skutki uboczne że dwie ciekawostki Ale za np. 3 miesiące To wolę ;)

@waldemargoszka4816 4 ай бұрын

Na kanale Fireship wrzucili krótki materiał. Podobno błąd w adresowaniu pamięci w kodzie napisanym w C++

@nathanwzgorza8884 4 ай бұрын

Super materiał, dzięki, że tłumaczysz od razu znaczenia słów dla kompletnie zielonych w temacie, oszczędza mi to czas i mogę oglądać spokojnie.

@robertkalinowski6770 4 ай бұрын

Rewelacyjne przedstawienie zagadnienia w dodatku dla szerokiej gamy odbiorców. Wielkie dzięki.

@yanek911 4 ай бұрын

Ale Ty masz zajebiste porównania ;)

@patrykp.3731 4 ай бұрын

Produkujesz świetne materiały, ale jak usłyszałem, że rozwiązania asynchroniczne mogą tworzyć pewne problemy... Się poplułem, bardzo ładny eufemizm! I świetny materiał

@mariusziwanski1328 4 ай бұрын

Tak port 62137 jest chyba najbezpieczniejszy sam się nawet nie spodziewałem że ktoś z takich portów korzysta

@Banerled 4 ай бұрын

*_Większość obecnych ruterów jeśli już ma SSH to w formie dropbear, więc można spać spokojnie. Jedynie trzeba się przyjrzeć NAS'om bo one mają "pełne" dystrybucje Linuxów. Trzeba też pamiętać, że w repozytoriach nie znajdziesz aktualnej wersji OpenSSH, musisz sam sobie ją pobrać, skompilować i zainstalować._* _Dzięki Mati, chyba korzystamy z tego samego źródła wiedzy o exploitach :D_

@nihilistycznyateista 4 ай бұрын

Przypomina nam to też o zasadzie tak zwanego płotu Chestertone'a (mam nadzieje, ze tak się to pisze), czyli właśnie takiej sytuacji, kiedy widzimy coś, co się wydaje niepotrzebne, nie rozumiemy po co jest, a gdy to usuniemy - skutki potrafią być opłakane. W przypadku oryginalnego płotu Chestertone'a - miał to być rzeczywiście płot, dosłownie na środku pustyni w Australii, na pierwszy rzut oka będący tam zupełnie bez sensu. Jak się okazało po usunięciu - miał on bronić terenów zamieszkałych przez ludzi przed pustynnymi skorpionami, które po jego usunięciu zaczęły nękać mieszkańców, a wcześniej, w obliczu płotu zawracały na pustynię. A dziś ogólnie ideę najczęściej odnosi się do jakichś dawnych zwyczajów, które dziś wydaja się bez sensu.

@XR5PL 4 ай бұрын

thx ! obrazowo i rzeczowo :)

@lis6502 4 ай бұрын

Szanuję Cię Mati że w sposób nierzadko boleśnie łopatologiczny wykładasz race conditions grażynkom i panom areczkom o ile ci chcą słuchać. Naprawdę, poziom dostępności Twoich opracowań jest na tyle przystępny że mogę bez obawy o pytania doprecyzowujące wysłać linka wszystkim znajomym, od rodziców po kolegów frontendziarzy (okej, to nie koledzy ale liczą się jako odbiorcy linka xD) i mieć pewność że każdy zrozumie w wystarczającym stopniu. Chapeau bas.

@roni196pl 4 ай бұрын

ale na drugie brawa zasługuje balans pomiędzy ujawnianiem pewnych treści, pewnych podpowiedzi dla "złej" grupy odbiorców a maksymalnym rozrysowaniu przykładu wraz z analogicznymi wzorcami👌💣 Mati guru, mati muk by mnie uczyć dużo ❤😂😂

@wojciechpastuszczyn7989 4 ай бұрын

Myślałem, że to bedzie historia Sosnowca...😉

@amwoj 4 ай бұрын

Myślę, że w materiale zabrało informacji, że podatność udało się przetestować tylko na systemach 32 bitowych, nie oznacza to, że 64 bitowe systemy nie są zagrożone, z publikacji wynika natomiast fakt, że zdobycie shella na systemach 64 bitowych może zająć znacznie znacznie dłużej.

@d3fau1thmph 3 ай бұрын

W tym momencie już dawno załatane i poprawione. A w praktyce podatność była niska i bardzo ograniczona. Refleks mechanicznego Turka.

@jankes9878 4 ай бұрын

0:34 no i mnie zaciekawiłeś

@marcinszydowski5563 4 ай бұрын

10:11 Jak miło słyszeć, że znowu komuś kawałek kodu wydawał się zbędny 😄 Inna sprawa, czy osoba, która dokonała tej zmiany była tylko niedoświadczona, czy doskonale wiedziała po co to robi. Moim zdaniem, w nowoczesnych IDE a nawet tych terminalowych edytorach jak VIM czy Nano powinne być chociażby jakieś ostrzeżenie po usunięciu czegoś z pozoru nieużywanego. Marzeniem byłoby aby zrobić taką funkcjonalność konfigurowalną i żeby pokazywała drzewiastą strukturę możliwych konsekwencji.

@07markus 4 ай бұрын

Zapomniałeś dodać, że ten bug jest tylko w systemach 32 bitowych, więc od razu odpada 99% serwerów na świecie oraz że potrzeba ponad 10.000 połączeń - i trwa to około tygodnia. To zdecydowanie nie jest koniec świata i dlatego wynik CVSS jest "tylko" 8.1. Nie ma co siać paniki.

@IraS85glogow 4 ай бұрын

Super materiał. Ciekawe czy następny będzie o malware snowblind na androida. Oby, bo świeży i ciekawy temat.

@marvin95 4 ай бұрын

Jak to jest możliwe że coś co będzie wpisane podczas "logowania" zostanie użyte jako kod programu do wykonania???

@Mieszko777 4 ай бұрын

fenomenalne ujęcie spożywania kawy, szapo ba! xD

@Igor-g2m 2 ай бұрын

Lufa

@Lvvcassss Ай бұрын

Szacun za Chemexa :)

@rowerzysta8799 4 ай бұрын

solidny film jak zawsze

@politbiuro 4 ай бұрын

smacznej kawusi 😀

@Szklana147 4 ай бұрын

4:50 - o jaki fajny kubek :)

@arturbrzozka6891 4 ай бұрын

Porównianie z "kawką" , dobre, porzyczam.

@popeirl764 4 ай бұрын

Coraz wiecej tych globalnych "whoopsie"

@poprostuignacy3490 4 ай бұрын

6 2137 hmm dobry pomysł na zmyłkę

@AdrianWorkspace 4 ай бұрын

Fajny kubek Sekuraka :)

@mpGrafik 4 ай бұрын

Zmiana portu ssh jest praktyczna, bo 99% _pukania_ jest na domyślny port bez sprawdzania. Zawsze też fail2ban z czasem na 24h przynajmniej (+ analiza logów w celu stałej blokady najbardziej natrętnych zakresów ip), zawsze przy pierwszym logowaniu po instalacji systemu ustawienie wymogu klucza o _odpowiedniej_ długości zamiast hasła, zawsze dla usług typu www umieszczanie wszystkiego w jailu i tam sftp a nie ftp itd itp. Od 20 lat na żadnym z wielu stawianych serwerow nie odnotowałem włamania, choć dziennie są setki prób. Poza jakimiś przypadkami w ramach zamknietej w jailu domeny, gdzie klienci mieli zabytkowe wersje swoich jedynie słusznych Wordpress'ów. Ale to byl wtedy wewnętrzny problem w konkretnej _klatce_ dla domeny, nigdy nie dla całego serwera. W przypadu serwerow plików połączenie tylko przez LAN i zdalnie przez openVPN, gdzie ten też tylko z logowaniem na indywidualnych kluczach.

@marcinkabiesz4635 4 ай бұрын

Brawo ! Świetny Art :)

@igornowicki29 4 ай бұрын

21 na 37 osób nie zaczaiło żartu z alternatywnym portem SSH.

@michaoleszczyk4435 4 ай бұрын

Port "62 137" - czyli chciałbym pośmieszkować, ale trochę się cykam ;D

@GustlikRGZ 3 ай бұрын

Tak się składa, że często jak łączyłem się w sieci lokalnej z różnymi usługami (w tym SSH), to używałem portu 2137 xD

@huehue9627 4 ай бұрын

Jak usłyszałem że opowiesz nam historię pewnej dziury myślałem że będzie to materiał o Radomiu

@michawisniewski4654 4 ай бұрын

authentication failure/timeout czesany przez fail2ban (najlepiej z regułami recydywy), może knockd do tego i można spać spokojniej. Oczywiście do czasu, aż wylezie kolejny bug w iptables ;)

@bartzarzycki8255 3 ай бұрын

Lcamtuf brzmi znajomo. Czy występował pod tą ksywką na IRCu : BLUGu (Bydgoszcz), PLUGu ?

@centurion7722 3 ай бұрын

tak siedziałem z nim na kanale

@mariuszkoceba609 4 ай бұрын

Jak się daje jakąś linijkę kodu, która jest ważna, a nie wygląda warto dać komentarz :) A jak się usuwa kod wyglądający na zbędny - warto sprawdzić opis commita w tej linijce ;) no chyba, że ktoś poprzenisil kod ;)

@banocean 4 ай бұрын

szczerze, nie słyszałem gorszego wytłumaczenia race conditions, także jest różnica pomiędzy asynchronicznością i uruchamianiem rzeczy jednocześnie i sama asynchroniczność nie na tym polega i może być jednowątkowa

@Asselasis 4 ай бұрын

14:25 Okrutnik no

@Weq-w7i 3 ай бұрын

Mam pytanie z dziedziny matematyki stosowanej, o ile to nie problem, a mianowicie; Czy jak obejrzę 2 reklamy to zarobi Kolega chociaż na jedną kartkę?

@arekasdasd 3 ай бұрын

Jaki był cel usinięcia tej jednej linijki kodu? No bo nie usuwa sie kodu bez powodu?

@JanKuzio 4 ай бұрын

epoka kamienia chrupanego, w szkołach niestety o nie uczą.

@mieszkomazurek3033 4 ай бұрын

14:25 Czemu powiedziałeś port na którym mam swoje SSH? Przypadek? Nie sądzę.

@Banerled 4 ай бұрын

*_Przecież każdy co wie to wie, że po numerze 22 większość daje port 62137._*

@kasztandor 4 ай бұрын

Lubię stawiać ssh na custom porcie bez możliwości logowania hasłem, a jedynie kluczem, bardzo polecam

@centurion7722 3 ай бұрын

Mój szef działu IT duża firma, kłócił się ze mną że nie potrzebnie chce wyciąć 22 na iptables do kilu naszych adresów, 2 lata temu mówiłem że co jak będzie luka w sshd? i jest.

@ptyminski 4 ай бұрын

Nie rozumiem, regression wymawiasz poprawnie, czyli co to jest "oupen esesha"?

@shamelessfartman89 4 ай бұрын

4:20 - ciekawe

@odbjur 4 ай бұрын

Mam wrazenie ze juz to oglądałem

@lefttoe6969 4 ай бұрын

z paluszkiem! :D

@zbirek 4 ай бұрын

Mateusz w teatrze zacząłeś nagrywać? 😅

@cixolaptop1348 4 ай бұрын

Ale fail2ban czasem nie pozlowliłby tego załatać?

@P.S.yt_ 4 ай бұрын

Skąd taki fajny kubeczek?

@katfaith8720 4 ай бұрын

Kubek sekuraka? Też dostałem:D

@Fooxs 4 ай бұрын

Z tego co zrozumiałem to na ubuntu pomimo 9.6 openssh jest ta luka już załatana przez team ubuntu? Tutaj padło też ciekawe stwierdzenie, że od 20lat to jest pierwsza odkryta luka w openssh... no właśnie... odkryta. A ciekawe ile takich luk istnieje od lat i które nie są nadal odkryte, podejrzewam że jest to wartość większa niż 0.

@PanSzafa 4 ай бұрын

A jak schowam SSH za VPN ?

@lich0ni3spi 4 ай бұрын

Zmiana portu openssh z 22 na niedomyślny sprawia że podczas skanów będziemy się świecić jak latarnia, to jest dość dyskusyjna rada

@MK-ok6mj 4 ай бұрын

Możesz rozwinąć co masz na myśli przez świecić jak latarnia?

@matix16 4 ай бұрын

99% skanów idzie na porty 1-1024, bo tutaj chodzi o złapanie kogoś kto na pewno ma słabe zabezpieczenia lub ich brak. Ktoś kto zmienił port na inny z zakresu 1025-65536 nie jest już takim łakomym kąskiem, gdyż trzeba się domyślić czy np. ten port 38651 to SSH, a może RDP a może w ogóle coś innego. Po 2. tak jak wspomniał Mateusz, jeżeli już musimy mieć dostęp SSH przez publiczne łącze to zamknijmy je pod konkretne adresy IP a w ogóle to najlepiej za jakimś VPN-em

@lich0ni3spi 4 ай бұрын

@@matix16 Ustawianie niestandardowego portu to jest "Security Through Obscurity", coś czego raczej nie chcemy, może dawać to fałszywe poczucie bezpieczeństwa a w niczym nie pomaga. Skanery nie mają problemu z identyfikacją usługi ssh, to nie ma żadnego znaczenia czy to jest port 22 czy 12345. Jeżeli ktoś chce ukryć swój serwer SSH to już lepiej skorzystać z knockd. Ustawienie niestandardowego portu przykuwa uwagę skanujących, być może ktoś kto zmienił port na niestandardowy myśli że to mu wystarczy i to może sprowokować dalsze próby ataku.

@lukaszpodgorski 4 ай бұрын

Chcę taki kubek!!! :D Poproszę ;-)

@Ostatn1 4 ай бұрын

@cutweld4610 4 ай бұрын

Sam nie wiem na jakim porcie mam SSH w chmurze. Mam Spisane na kartce ;)

@tomaszbyczek7611 4 ай бұрын

Mati mały paluszek rulezzzz 😂😂😂

@Znaczek 4 ай бұрын

Oho, nawet i bezpieczny protokół ma jakieś błędy 💀

@MateuszChrobok 4 ай бұрын

Nie protokół, a implementacja. ;)

@MarcinJ-b1q 4 ай бұрын

👋

@HUW-05039 4 ай бұрын

Zaskakuje mnie, że podczas pierwotnego latania podatności deweloperowi zabrakło wyobraźni aby dodać komentarz taki aby nikt później tej linijki kodu nie usunął.

@AdamKucharczyk 4 ай бұрын

pierwsza zasada refactoringu - kod, który widzisz został napisany w jakimś celu, zanim go zaczniesz zmieniać, zrozum dokładnie, po co tam jest. druga zasada refactoringu - opisy commitów w gicie są istotne. Miliony godzin kodowania zakończono revertem, bo ludzie tych dwóch zasad nie stosują.

@TymexComputing 3 ай бұрын

9:00 - jaki progres... - jak kolesie z OłpenSSH nie dali administratorom czerwonym tekstem przy starcie że machine owner w miarę możliwości i potrzebn powinie WYŁĄCZYĆ "Interactive Logon/password auth." o czym było już wiadomo od 20 lat że jest metodą podatną na wykorzystanie luk w szyfrowaniu, dopełnianiu haseł i wszelkie inne potencjalne tylko techniki a od 30 lat było to wiadomo o głupim udostępnianiu srików i utrawnień w MS to nie mam dla nich szacunku. Za darmo to sobie mogą punkty w sklepiku zbierać a nie udawać że rozwijają poważne oprogramowanie.

@Igor-g2m 2 ай бұрын

🤝

@horbi590 4 ай бұрын

A kubek sekuraka 🎉

@Silesian1 4 ай бұрын

Ekspresy do kawy są wolniejsze nawet od ZX Spectrum

@Valeeriaan 4 ай бұрын

“Opowiem wam dziś historię pewnej dziury” jedno zdanie a zrobiło piątek XDDDDDDD

@zetx1834 4 ай бұрын

Każda dziura jest ponętna

@Ostatn1 4 ай бұрын

1:39

@arekasdasd 3 ай бұрын

Troche brzmi jak sciene-fiction.

@longinzaczek5857 4 ай бұрын

Oj oj oj oj oj oj oj oj

@mk_private4844 4 ай бұрын

Piąte wyświetlenie

@spalonaplastelina 4 ай бұрын

@ludy997 4 ай бұрын

bramkarza łatwo mogą ominąć wymalowane siedemnastki na obcasach

@szmurawski 4 ай бұрын

Mielenie na grubym kliku!

@MateuszChrobok 4 ай бұрын

Na 28.

@szputniq 4 ай бұрын

boom

@MrGonzoles 4 ай бұрын

niech się niesie

@prometeusz1984 4 ай бұрын

Jak to ma się do systemów BSD? Czy na prawdę to wszystko Linuksy? Co z systemami BSD? Przecież BSD jest chyba lepsze na serwery, więc czemu to wszystko linuksy?

@lis6502 4 ай бұрын

bo *BSD jest bezpieczne, a Linux jest wygodny i wszechstronny.

@impact7136 4 ай бұрын

4:46 Ćpun

@SurG30n 3 ай бұрын

Najlepsze zabezpieczenie to # na port i masz wyjebane

@chlodnia 3 ай бұрын

Ale troll… nie, nie napisze tego

@Ostatn1 4 ай бұрын

Klony Uczcie się.

@adamkolany1668 4 ай бұрын

ostatnio widzę na serwerach Ubuntu pomysł, że bez klucza się nie da zalogować. Czy to dobre zabezpieczenie ?

@traq007 3 ай бұрын

Znowu rozprzestrzeniasz półprawdę. Starsze wersje OpenSSH server nie mają tej podatności!

@abuba_11 3 ай бұрын

chłop to dosłownie mówi

@zj7498 4 ай бұрын

Mam dejavu czy taki temat już był. "Jak 0.5 s uratowało świat od katastrofy"

@MateuszChrobok 4 ай бұрын

Blisko, blisko...

@Niewiemola 4 ай бұрын

Dobra chyba jednak kupuje tego maca…. Linux nie, Windows nie, android nie …. Xd

@Waldo_Ilowiecki 4 ай бұрын

Przejęcie całkowite internetu to to rzeczywiście wyczyn. Jednak nawiększy wyczyn o jakim słyszałem to fakt przeczytania całego internetu przez Chucka Norrisa.

@nexusslw 4 ай бұрын

Wszystko co open... Jest wiele bardziej dziurawe.

@adamkolany1668 4 ай бұрын

pamiętam jeszcze czasy, kiedy przed oddaniem programu należało udowodnić jego poprawność. Uczył o tym Wirth, Denny van Tassel, czy Iglewski z Madejem. Ale któż by się tym przejmował, jak produkt trzeba szybko sprzedać … No ale wolnego softwearu jednak się nie sprzedaje …

@marekkowalski9673 3 ай бұрын

Zadne oprogramowanie nie może być "szczelne" bez furtek bo Amerykanie nie mogli by śledzić całego świata i zbierać informacje o tych co ich nie lubią ........ albo chcą im zrobić jakie kuku .........