Diskussion:Heartbleed

message: Zitierter Hinweis aus [Diskussion:Transport_Layer_Security#Kapitel_zu_Heartbleed-Erweiterung_fehlt_.28f.C3.BCr_Korrektur_der_.22Weiterleitung_Heartbleed_auf_OpenSSL.22.29]
::Aktuell gibt es sehr viel Presse zum Bug in OpenSSL durch die TLS-Erweiterung "Heartbleed". Zur Zeit gibt es irrtümlich eine Weiterleitung von Heartbleed auf OpenSSL. Das ist fachlich falsch, weil Heartbleed ist eine Technik von TLS und muss dort behandelt werden. Ich zitiere kurz folgenden Satz aus Golem: „Die Sicherheitslücke steckt im Code für die sogenannte Heartbeat-Erweiterung von TLS. Sie wurde vor zwei Jahren in OpenSSL 1.0.1 eingeführt und soll langlebige, TLS-gesicherte Verbindungen erleichtern. Genutzt wird sie nur selten, aber in der Standardeinstellung von aktuellen OpenSSL-Versionen ist die Erweiterung aktiv.“ (Quelle http://www.golem.de/news/sicherheitsluecke-keys-auslesen-mit-openssl-1404- 105685.html) 
::Es kann nicht Aufgabe vom Artikel OpenSSL sein zu beschreiben für was Heartbleed dient und wo es angewendet werden soll in der Praxis. TLS ist nicht mein Spezialgebiet und daher habe ich keine zugehörige Sammlung von passenden Einzelnachweise für eine qualifizierte Ergänzung eines neuen Unterkapitels. Ich bitte die üblichen Artikelschreiber von TLS hier aktiv zu werden. --ocrho (Diskussion) 10:58, 9. Apr. 2014 (CEST)
replies: text: ich habe auf Diskussion:Transport Layer Security geantwortet, bitte dort weiterdiskutieren. --Mario d 11:11, 9. Apr. 2014 (CEST)
thread_title:  Weiterleitung auf TLS fehlt, da eine Funktion von TLS 

message: Ein sehr wichtiger (und umstrittener) Punkt ist, dass die einige ausgewählte Firmen schon früher als die Öffentlichkeit informiert wurden. Das sollte in den Abschnitt "Entdeckung". Auch währen korrekte Daten besser als "Anfang April". (Ich finde gerade die Quelle dafür nicht.) -- Michi 17:40, 13. Apr. 2014 (CEST)
replies: text:  Leider konnte ich hierüber nichts finden. Die "gleichzeitige" Entdeckung lässt vermuten, dass die Öffentlichkeit hier, wie oft, immer nur einen Teil der Wahrheit erfährt. --HV (Diskussion) 18:27, 13. Apr. 2014 (CEST)
replies: text: Welche Firmen sollen angeblich früher informiert worden sein? Und wer sagt das überhaupt? Redest du hier von Google und Codenomicon? Natürlich waren die vorher drüber informiert - was denn sonst! Dass ein Arbeitgeber wissen möchte, was seine Mitarbeiter in ihrer Arbeitszeit machen, ist ja jetzt nichts Besonderes. --88.130.72.218 19:32, 13. Apr. 2014 (CEST)
replies: text: Michi zweifelt an, dass der Bug tatsächlich erst am 7. April entdeckt wurde und das dann sofort bekanntgegeben wurde, und dass dann auch noch zeitgleich in zwei unterschiedlichen Firmen jemandem die entscheidende Idee kam. Dazu gibt es mit Sicherheit eine Vorgeschichte, von der wir nichts erfahren werden. Vielleicht ist irgendjemandem, schon länger etwas spanisch vorgekommen, und man hat unter Geheimhaltung lange danach gesucht, vielleicht gab es einen Tipp vom NSA, damit die Sache ordentlich aufgedeckt wird, bevor es nach den Snowden-Enthüllungen jemand zufällig merkt, vielleicht waren Außerirdische im Spiel, oder Nostradamus hat es auch schon gewußt, ... wir werden es wohl nie erfahren. --HV (Diskussion) 20:48, 13. Apr. 2014 (CEST)
replies: text: Das sind alles Mutmaßungen. Die genauen Abläufe speziell von OpenSSL kenn ich jetzt auch nicht, aber häufig nutzen die Entwickler ein "responible disclosure"-Verfahren an: Sicherheitsrelevante Fehler werden nicht-öffentlich an die Entwickler gemeldet, die überlegen sich einen Fix, kommunizieren mit dem "Finder" und wenn der Fix funktioniert, wird ein Release mit entsprechenden Release-Notes vorbereitet. Ich kenn in diesem konkreten Einzelfall die Hintergründe nicht, aber ich kann dir sagen, dass das alles definitiv nicht an einem Tag passiert. Der genau Zeitpunkt der Mitteilung des Bugs an die Entwickler ist letztlich egal; Hauptsache man installiert flott den Fix. Denkbar ist auch, dass die Entwickler nicht genau Auskunft über ihre internen Abläufe geben wollen, z.B. darüber wie lange sie im Schnitt brauchen, um ein solches Problem zu beheben. Das alles ist aber keine Besonderheit für OpenSSL - ich weiß wie gesagt noch nicht mal, ob das bei denen überhaupt vergleichbar läuft, aber bei vielen Open-Source-Projekten läuft es in der Art. --88.130.72.218 21:53, 13. Apr. 2014 (CEST)
replies: text: Klar, aber in den Belegen steht nun mal, dass es sich um eine spontane Entdeckung an einem Tag in zwei unterschiedlichen Firmen handelt. Alles andere ist den Journalisten wohl zu kompliziert. Obwohl das offensichtlich Unfug ist, und wir es eigentlich alle besser wissen, können wir es nicht anders schreiben, weil das sonst Theoriefindung wäre (endlich mal ein schönes Beispiel, das ich in anderen Diskussionen schon viel früher mal gebraucht hätte!). Aber ein besseres Verfahren als die Belegpflicht fällt mir nach langer Mitarbeit in der Wikipedia auch nicht ein, selbst wenn es manchmal komische Blüten treibt... --HV (Diskussion) 22:17, 13. Apr. 2014 (CEST)
replies: text: Wir müssen aber auch nicht wissentlich Falschinformationen verbreiten; manchmal wird ein Text besser, wenn man dubiose Informationen halt auslässt. Mittlerweile spricht der Artikel nur noch vom 7. April als "Veröffentlichungsdatum" des Bulletins; so ist das OK. --88.130.72.218 22:28, 13. Apr. 2014 (CEST)

text: Nein, ich wollte hier nichts unterstellen oder Verschwörungstheorien aufstellen. Worauf ich mich bezog war dieser Bericht – aber das war wohl eine Fehlmeldung, die darauf zurückgeht, dass Cloudflare den Bug zufällig simultan gefunden hat. -- Michi 01:02, 14. Apr. 2014 (CEST)

text: Erstens sollte es dann auch im Artikel selbst belegt werden, zweitens ist das was du sagst erstmal nur ein Fakt und keine Kritik. Die Kritik wäre dann auch nochmal zu begründen und zu belegen. --129.217.151.246 18:57, 23. Apr. 2014 (CEST)
thread_title:  Vorabinformierung von Unternehmen (Erl.) 

message: Ubuntu wird scheinbar nicht gefixt. Kann das jemand erklären? --Itu (Diskussion) 21:17, 13. Apr. 2014 (CEST)
replies: text: Ne, kann ich nicht - es wird nämlich gefixt. ;-) Ubuntu ist scheinbar ab Version 12.04 betroffen. Der Seite kannst du auch entnehmen, welche Ubuntu-Packages sicher sind. Die oberste Antwort hier zeigt außerdem, wie man Ubuntu aktualisiert. --88.130.72.218 21:47, 13. Apr. 2014 (CEST)
thread_title:  Ubuntu 

message: *Durch die Presse ging das ganze am 7. – den haben wir auch im Artikel stehen.
*Hier seht das die Öffentlichkeit aber schon am Sonntagabend informiert wurde.
*Dort steht auch, dass der Bug am Freitag zuvor (das wäre dann der 4.) entdeckt worden sei
*cloudflare hat den Bug aber laut eigenen Informationen schon am 31. März geschlossen.
*Dieser Bugfix bei RedHat ist auf den 21. März datiert.
*heartbleed.com spricht davon das der Bug am 3. April gefunden wurde
Alles in allem ist das also sehr verwirrend. Kennt jemand vertrauenswürdige Quellen? -- Michi 01:23, 14. Apr. 2014 (CEST)
replies: text: Wahrscheinlich ist die ganze Geschichte noch viel komplizierter und wird im detaillierten Ablauf erst allmählich erläutert werden. Die Quellen betonen ja, dass der Zeitpunkt der Bekanntgabe, wie das ganze Procedere, auch etwas damit zu tun haben, dass Gegenmaßnahmen ergriffen werden mussten bevor Hacker in der Zwischenzeit die Lücke ausnutzen können, und dass daher eine bestimmte Strategie erdacht wurde, den Schaden auf ein Minimum zu begrenzen. Wenn man mal davon ausgehen kann, dass es nahezu keine unsicheren openSSL-Dienste mehr im Netz gibt, werden wir vermutlich mehr erfahren. --HV (Diskussion) 07:30, 14. Apr. 2014 (CEST)

text: Siehe Heartbleed disclosure timeline: who knew what and when --Matthäus Wander 11:27, 15. Apr. 2014 (CEST)
thread_title:  Unklarheit bzgl. Entdeckungs/Veröffentlichungsdatum. 

message: Ich würde ein anderes Bild zur Veranschaulichung des Bug's nutzen. Der xkcd veranschaulicht das sehr sehr gut:
http://imgs.xkcd.com/comics/heartbleed_explanation.png (nicht signierter Beitrag von 141.71.113.65 (Diskussion) 15:56, 16. Apr. 2014 (CEST)
replies: text: Unter Welcher Lizenz steht dieses Bild? --HV (Diskussion) 16:12, 16. Apr. 2014 (CEST)
replies: text: Steht doch drunter: CC-BY-NC -- also inkompatibel zur WP. -- Michi 20:09, 16. Apr. 2014 (CEST)

text: Ich hatte es übrigens schonmal als Referenz eingestellt, bevor es wieder entfernt wurde:  --HV (Diskussion) 16:20, 16. Apr. 2014 (CEST)
replies: text: Bin dafür, es als referenz einzustellen. -A. --129.217.151.246 11:21, 17. Apr. 2014 (CEST)
replies: text: Habs unter "Trivia" eingebaut. Die zeitgeschichtliche Rezeption des Vorfalls ist definitiv relevant, und xkcd wird sehr weit rezipiert. --129.13.72.198 18:12, 20. Apr. 2014 (CEST)
thread_title:  Veranschaulichung 

message: Bitte folgenden Satz allgemeinverständlicher formulieren:
"Bei DTLS kann das Heartbeat-Verfahren zur Path MTU Discovery verwendet werden."
Was genau ist Path MTU Discover? (Halbsatz in Kommas genügt). Wir schreiben auch für normales Publikum. --HV (Diskussion) 17:44, 16. Apr. 2014 (CEST)
replies: text: Ist verlinkt und dort erklärt. --Matthäus Wander 17:50, 16. Apr. 2014 (CEST)
replies: text: Ja, aber auch dort leider sehr fachchinesisch. Ein bisschen Rücksicht auf die Nicht-Insider sollten wir gerade bei der gegenwärtigen Aktualität schon nehmen. Ich kann das leider nicht, ohne selbst unzulässig zu verkürzen oder alternativ zu ausschweifend zu werden. --HV (Diskussion) 18:18, 16. Apr. 2014 (CEST)
replies: text: Dann sollte man eher den dort verlinkten Artikel umformulieren, anstatt hier jedes Details zu erklären. Bei jemandem, der den fehler technisch verstehen möchte, sollte man davon ausgehen dass er selbst auf die verlinkte Seite geht. -A. (nicht signierter Beitrag von 129.217.151.246 (Diskussion) 11:28, 17. Apr. 2014 (CEST)
replies: text: Das wäre mir persönlich egal. Ich selbst kriege es halt wahrscheinlich nicht ohne Geschwurbel hin, weil ich in diese Materie nicht eingearbeitet bin. Ist mir nur auf Anhieb als schwerverdaulich aufgefallen. --HV (Diskussion) 13:25, 17. Apr. 2014 (CEST)
thread_title:  Path MTU Discovery  

message: Aus der Einleitung:
:Der Heartbleed-Bug ist ein schwerwiegender Programmfehler in der Open-Source-Bibliothek OpenSSL, der durch seine Tragweite Auswirkungen auf große Teile des Internets hatte und 2014 weltweites Medienecho erzeugte.
Ich schlage vor, "ist" durch "war" zu ersetzen, "ist" hört sich für mich so an als gäbe es diesen Fehler immer noch, obwohl er schon behoben wurde. --84.60.102.199 18:51, 18. Apr. 2014 (CEST)
replies: text: Den Fehler gibt es noch, er existiert weiter in den OpenSSL-Versionen 1.0.1 bis 1.0.1f und den Systemen, die eine dieser Versionen einsetzen. Da der Fehler seit weniger als zwei Wochen öffentlich bekannt ist, kann man nicht annehmen, dass alle betroffenen Systeme behoben seien. --Matthäus Wander 18:59, 18. Apr. 2014 (CEST)
replies: text: Ausschlaggebend sollte doch aber seien, dass er im offiziellen OpenSSL-Repo behoben ist. Wenn ich als Unbeteiligter aber diesen Einleitungssatz lesen würde dann würde ich davon ausgehen dass genau das eben nicht der der Fall ist. "Der Heartbleed-Bug ist ein schwerwiegender Programmfehler in der Open-Source-Bibliothek OpenSSL..." klingt für mich so als sei die neuste Version von OpenSSL gemeint. --84.60.102.199 00:41, 19. Apr. 2014 (CEST)
replies: text:  Ein Fehler bleibt er weiterhin: „Heartbleed ist ein Fehler, der in den OpenSSL-Versionen 1.0.1 bis 1.0.1f war.“ Es sollte aber bereits in der Einleitung aufgeführt werden, dass der Fehler in OpenSSL behoben ist. Ein „war“ alleine drückt das nicht klar aus. --Fomafix (Diskussion) 12:50, 19. Apr. 2014 (CEST)
replies: text: Mit dem Satz „Heartbleed ist ein Fehler, der in den OpenSSL-Versionen 1.0.1 bis 1.0.1f war.“  bin ich auch zufrieden. Momentan wird aus dem Einleitungssatz gar nicht klar dass dieser Fehler in der aktuellen OpenSSL-Version bereits behoben wurde. Oder auch "Heartbleed ist ein Fehler in den OpenSSL-Versionen 1.0.1 bis 1.0.1f". Alternativ ein Zusatzsatz "Betroffen waren die OpenSSL-Versionen 1.0.1 bis 1.0.1f" - Wobei, aus letzterem geht auch nicht hervor dass es bereits eine neuere Version gibt.--84.60.98.78 13:27, 19. Apr. 2014 (CEST)
replies: text: Betroffene Versionen (und etwas mehr) ergänzt. --Matthäus Wander 16:12, 19. Apr. 2014 (CEST)
thread_title:  "Ist" versus "war" im Einleitungssatz 

message: (wurde auf Disk:OpenSSL schon mal gefragt, kam aber bis jetzt nichts)
Gibt es mittlerweile irgendwelche Begründungen für die Implementation einer beliebigen Payload beliebiger (<16 kbyte) Länge? Es wurde ja vom Author ein Zeitstempel angeführt , nur reichten da feste 32 Bit (und man könnte gleichzeitig die Längenvariable einsparen, effektiv also 16 Bit). 
Im Moment scheint es, als ob der Bug an einer völlig überflüssigen Funktionalität aufgetreten wäre. Das läd zu Verschwörungtheorien ein. Wurde das echt noch nirgendwo in der Computrpresse thematisiert? --129.13.72.198 17:57, 20. Apr. 2014 (CEST)
replies: text: doch, schon mehrfach: Path MTU Discovery. --Mario d 10:04, 21. Apr. 2014 (CEST)
replies: text: Nein, dafür gibt es ja das in der verlinkten Mail erwähnte padding, mit der man die Pakete auf dem Hinweg beliebig aufblähen kann. --129.13.72.198 13:03, 21. Apr. 2014 (CEST)
thread_title:  Begründung für beliebigen Payload beliebiger Länge? 

message: – GiftBot (Diskussion) 17:43, 13. Feb. 2016 (CET)
thread_title:  {{Anker|deadurl_2015-10}} Defekter Weblink 

message: Tut mir leid, ich lese das hier heute zum ersten Mal. Und da fällt mir auf, dass der Artikel noch von der (ersten?) Aufregung geprägt ist, sehr verständlich! Übrigens Glückwunsch zur verständlichen Erklärung des Mechanismus’. Ich stelle mir allerdings vor, dass die Auswirkungen auf Otto Normalbürger wie mich Null waren, auf jeden Fall, dass es von Fall zu Fall draufankommt. Konkret tät’ ich bitten, die alarmistische Aussage von Bruce Schneier ersatzlos zu streichen:
Der Kryptologe und Sicherheitsexperte Bruce Schneier beschreibt die Tragweite des Heartbleed-Bug als:
    “Catastrophic is the right word. On the scale of 1 to 10, this is an 11.”
    „Katastrophal ist das richtige Wort. Auf einer Skala von 1 bis 10 ist dies eine 11.“
– Bruce Schneier[21]
Wir sind hier kein Sensationsblatt, und gerade Meinungen sind Ansichtssache. Sich – wie anderswo auch gern – hinter einem Zitat zurückzuziehen, ist Leitartikelstil statt gepflegter Fakten. Sorry, nicht bös gemeint. – Fritz Jörn (Diskussion) 14:22, 12. Feb. 2017 (CET)
replies: text: Bruce Schneier ist nunmal der meist zitierte Crypto-Experte. Und die Einschätzung das dies ein GAU im wahren sinne des Wortes war ist nicht nur seine Meinung, sondern die allgemeine Einschätzung aller Experten. Über Jahre hinweg waren die Verschlüsselungen zu den allermeisten Webservern der Welt wirkungslos. Auch nach Veröffentlichung dauerte es bei vielen Seiten Tage bis sie wieder sicher waren und einige wenige System sind heute noch betroffen. Man könnte höchstens den zweiten Satz streichen, weil inhaltslos, aber die Einschätzung als "Katastrophal" sollte meiner Meinung nach auf jeden Fall drin bleiben. Im Gegensatz, das Kapitel "Auswirkungen" müsste dringend ausgebaut werden, es fehlen beispielsweise die ganzen Spätfolgen, wie die Gründung der Core Infrastructure Initiative fehlen. -- Michi 17:49, 12. Feb. 2017 (CET)
thread_title:  Katastrophenskala 

message: Die schwedische Metalcore-Band The Unguided widmete dem Heartbleed-Bug auf ihrem Album "And the Battle Royale" ein Lied
Weder aus dem auf YouTube vorhandenen Liedtext, noch nach dem benutzen Einzelnachweis ist ersichtlich, dass hier im Lied wirklich der Heartbleed-Bug dieses Artikels gemeint ist. Es wird zwar expklizit "Heartbleed-Bug" genannt, jedoch nicht in technischen Zusamenhang: "True love, a chemical illusion, a heartbleed bug…"
Ich würde das also entfernen, außer jemand hat einen Beleg für den Zusammenhang? Oder lohnt es sich diesbezüglich bei der Band nachzufragen? 
--rugk (Diskussion) 00:29, 19. Jan. 2018 (CET)
replies: text: Insbesondere, dass das Album ja einige Jahre nachdem Bug veröffentlicht wurde, lässt da Zweifel offen. --rugk (Diskussion) 00:51, 19. Jan. 2018 (CET)
replies: text: Ja, entfernen. Der Zusammenhang ist nicht offensichtlich, nicht belegt und somit TF. --Matthäus Wander 11:48, 24. Jul. 2023 (CEST)
thread_title:  Trivia: The Unguided – Zusammenhang zu Bug wirklich gegeben? 

message: Mit Yahoo Namen und Fake-Absende-Mailadressen werden seit 2014 viele Menschen "vollgespamt". Die Mails enthalten häufig Links zu Viren-verseuchten Inhalten. Es werden Verteiler verwendet, die dem Empfänger Vertrauen suggerieren, da es sich um Kreise handelt, in denen er sich bewegt. Unsere Tochter ist eines der Opfer und hat jede Menge Vorwürfe auszuhalten, kann aber nichts mehr dagegen unternehmen. 
Lt. Fachleuten waren ihre Daten vor März 2014 im Rahmen dieser "Heartbleed"-Lücke entwendet worden. Wenn das nicht widerlegt ist, dann betrifft es sicher auf ähnliche Weise auch viele andere Mitmenschen, die seinerzeit einen Yahoo-eMail-Account hatten. - Auch wenn die Betroffenen den Anbieter gewechselt haben, werden diese Spam-Mails ja weiterhin versandt, und zwar jetzt seit 7 Jahren. Es betrifft allein in meinem Bekanntenkreis noch mehrere Personen, die z. T. auch Vorwürfen ausgesetzt sind. Unter diesem Aspekt kann die Aussage nicht stehen bleiben, dass kaum jemand betroffen sein dürfte. Vgl. auch folgende Quelle:
https://www.heise.de/security/meldung/Heartbleed-Yahoo-und-Web-de-raten-zum-Passwortwechsel-2167630.html 
:An welcher Stelle steht denn die Aussage, dass kaum jemand betroffen sein dürfte? --Matthäus Wander 19:25, 28. Jul. 2023 (CEST)
thread_title:  Betroffenheit nicht vernachlässigbar!