Представлен эксплойт, способный блокировать работу любого SSL-сервера

Спасибо за ПМ, завтра с утра изучу diff и начну пробовать, я сам не программист и весьма поверхностно знаю C по этому извините, поправить самому - не представляется возможным, но хотелось бы понять как работает данная штука и само собой надо ж искать таблетки :D

Да тупо она работает, ничего там такого сверхестественного нет, тупо открывает SSL, делает handshake, в случае если renegotiations включен, то снова и снова делает handshake :)

Если renegotiations выключен, то осуществляет реконнект после каждого handshake.

Таблетка простая, ограничение на кол-во запросов с одного IP адреса в секунду.

babnicks,

У меня создается впечатление, что мы ходим по кругу, я прекрасно понимаю, что если будут открываться новые сессии то это легко можно успокоить путем файрволов, меня интересует вариант когда внутри 1го соединения происходит много "пожатий", т.е тот случай когда непонятно как отслеживать нарушителя, при условии что ему требуется то всего 1 ИП что бы уложить сервер.

На сколько я понял из того что тестировал, у меня в Апач видимо "по умолчанию" :D отключен renegotiation, соответственно получается атака на такой апач не имеет смысла, так как внутри 1го соединения ничего не выйдет, а если их будет много то их порубает CSF/LFD/etc..

БЛИН, ну это ведь написанно в ОРИГИНАЛЕ новости ;) Написанно ведь, что если выключен renegotiation то надо создавать НОВЫЕ коннекты ;)

А еще я видел ЖИВОЙ апач у которого ВКЛЮЧЕН renegotiation, и вот он кладется просто махом.

Вы все равно запустите, интересно, какую нагрузку он даст, сколько h/s положит apache ;)

Так это тогда не уязвимость а что попало :D Раз такое дело то renegotiation выключен уже почти везде, так выходит, а остальное в плане подсчета коннектов с IP уже давно используется нормальными поставщиками услуг, по этому я хочу понять, тем у кого renegotiation выключен и есть трекинг по коннектам нечего бояться?

Нечего :) Но факт такой, что не у всех оно выключено. Если бы было чаго, то уже пол инета валялось-бы ;)

Меня же что и удивило, что "по умолчанию" выключено ибо я заведомо этой опции не отключал в апаче.

Это да ! ;) Кто как использует.... :)

Привет! А как вы умеете в личку писать? Хотел просить перекомпиленный эксплойт чтобы он реконнекты делал, а оказывается отправить личное сообщение не менее сложно чем эксплойт перекомпилить...

tabacci, А вам его никто и не даст. Молоды вы ещё.

Raistlin, может кто-то всё-таки даст?

или хотя бы скажет какую функцию изменить?

или хотя бы скажет как включить Renego на 2003 сервере?

установил IIS на виртуальном 2003 сервере, включил SSL, а эксплойт его не досит, а SSL-DOS посмотреть хоть в каком-нибудь варианте хочется!