Newsgroup: it.comp.sicurezza.varie
Titolo: Patch di sicurezza per Windows

 
stavo leggendo quanto segue
 
=======================================================================
Sources tell KrebsOnSecurity that Microsoft Corp. is slated to release
a software update on Tuesday to fix an extraordinarily serious security 
vulnerability in a core cryptographic component present in all versions
of Windows. Those sources say Microsoft has quietly shipped a patch for
the bug to branches of the U.S. military and to other high-value
customers/targets that manage key Internet infrastructure, and that
those organizations have been asked to sign agreements preventing them
from disclosing details of the flaw prior to Jan. 14, the first Patch
Tuesday of 2020.
 
https://krebsonsecurity.com/2020/01/cryptic-rumblings-ahead-of-first-2020-patch-tuesday/
 
 
=======================================================================
 
ora, considerando l'intervallo temporale, DUBITO che si tratti SOLTANTO
di Win10 (ed ho una "vaga idea" sul bug che la patch andrà a corregere
<vbEg>), ad ogni modo, meglio tardi che mai; in breve c'è un "buchino"
nelle cryptoAPI (che praticamente vengono usate da tutto il sistema
crittografico di VINdoz) che permette(rebbe <g>) *tra le altre cose* di
spoofare la firma digitale apposta su file exe (e documenti, no :D ?) e
di combinare altri "interessanti pasticci"
 
nota: crosspost su it.comp.os.win.windows10 ed it.comp.sicurezza.varie
      follow-up su it.comp.sicurezza.varie
 
P.S. per i poveri disgraziati che usano google groups per rispondere,
     invece di usare un news server serio, quanto sopra significa che
     dovete rispondere in "it.comp.sicurezza.varie", grazie :P
 
 

      dovete rispondere in "it.comp.sicurezza.varie", grazie :P
 
Porelli, come si sono ridotti. :-D
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Tutto il futuro è racchiuso nella sacra sillaba "bo!".
#v-
 
 

 
 
Immagino che si riferisca a:
https://support.microsoft.com/en-us/help/4528760/windows-10-update-kb4528760
 
 
?
 
 
-- 
Ciao!
Stefano

 
https://support.microsoft.com/en-us/help/4528760/windows-10-update-kb4528760
 
 
No
 

 =======================================================================
 
qui il CVE, il blog post relativo all'update e dettagli relativi
all'update stesso (ultimo link)
 
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601
 
 
https://msrc-blog.microsoft.com/2020/01/14/january-2020-security-updates:-cve-2020-0601/
 
 
https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-Jan
 
 
l'aggiornamento è datato 14 gennaio 2020 (ieri)
 



ops, SI, scusa avevo letto male :)
 

 l'aggiornamento è datato 14 gennaio 2020 (ieri)
 
qui ulteriori dettagli sulla vulnerabilità
 
https://news.ycombinator.com/item?id=22048619
 
 
 

 
https://news.ycombinator.com/item?id=22048619
 
 
Data una firma ECDSA e il controllo sui parametri del dominio della curva,
*č semplice* creare una seconda chiave privata che corrisponda alla chiave
pubblica originale, senza conoscere la chiave privata di firma originale.
Ecco come:
 
..................
 
Semplice un par di ciufoli, mi sono arreso solo a leggere tutta la
"pappardella". :-/
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Alzhaimer e... cammina.
#v-
 
 

 "pappardella". :-/
 
Mettiamola così, nessuno ti obbliga a capire come funziona :) però se
ci metti un pochino di pazienza il tutto non è poi così complicato
 


Ero arreso e tale resto, il tutto va oltre le mie capacità. :-P
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Se perdi la calma, non la ritrovi fra gli "Oggetti smarriti".
#v-