San CCS Injection, che cambiava cifrario troppo presto

Patrono degli handshake TLS, dei messaggi arrivati fuori turno e dei bug coetanei del progetto stesso.

Vita

Il 5 giugno 2014, due mesi dopo Heartbleed, OpenSSL rivelò un altro difetto scoperto da Masashi Kikuchi di Lepidum. Un attaccante in mezzo alla connessione poteva infilare un messaggio ChangeCipherSpec prima del tempo, e OpenSSL lo accettava, finendo per cifrare con chiavi deboli e prevedibili. Bisognava che client e server fossero entrambi vulnerabili, ma a quel punto il traffico si poteva leggere e modificare. Secondo il suo scopritore il bug era lì fin dalle prime versioni.

Preghiera

O San CCS Injection, che entri nel discorso prima che tocchi a te, insegna ai nostri handshake a rispettare il turno. Amen.

Come si festeggia

Si festeggia aggiornando OpenSSL alle versioni 0.9.8za, 1.0.0m o 1.0.1h, e aspettando il proprio turno in coda alle poste.

Chi cambia cifrario in anticipo, cifra per il vicino.