Die sogenannte Man-in-the-Middle-Attack? Und dazu die Zertifikate, die nicht in den CRLs stehen? Wieso heißt es eigentlich immer, die Zertifikate müssen getauscht werden und "wir" brauchen ein neues CSR dafür - aber fast nirgends steht, dass das alles sinnfrei ist, wenn der gleich Key genutzt wird! Hier geht man von der allgemeinen Annahme aus, dass die dafür genutzten Prozesse immer einen neuen Key generieren. Meiner Meinung nach ist das ein Ereignis, das beweist, wir relevant Produkthaftung auch bei Software wird. Und damit meine ich nicht OpenSSL, sondern Sophos, F-Secure, Cisco etc.Wir raten jedem betroffenem Kunden nicht nur die eigentlichen Certs auszutauschen sondern natürlich auch die betroffenen CAs. Das steht auch in unserer Knowledgebase. CRLs sind eine tolle Idee nur hält sich in der Praxis niemand daran z. Bsp. die Browserhersteller.
1. Mir gefällt Deine Ausdrucksweise nicht.
2. Mein Nickname lautet anders.
3. QA hat ganz sicher nicht "gepennt" - Der SSL Client wurde geprüft und die gefixte Library ist enthalten. Check.
4. Wann und wie wir eine Version anheben bleibt uns überlassen und ist nicht per se ein Problem nur weil die Vorgehensweise nicht Deiner Erwartung entspricht.
5. Ich persönlich teile die Meinung, dass bei jedweder Änderung die Version in irgend einer Art angehoben werden sollte - Ganz generell.
1. Mir gefällt auch vieles nicht, weine trotzdem nicht rum
2. Ja, sorry Trollvottel.
3. Hier gehen unsere Meinungen auseinander. Selbst wenn nur eine Library neu wäre, sollte das Paket eine neue Version-Nr. bekommen. Im aktualisierten Client sind ALLE Dateien neu , nicht nur die ssl.dll.
4. Klar
5. Du arbeitest für Astaro/Sophos. Wäre auch blöd , wenn du im Forum deines Arbeitgebers was negatives äußerst.
Moin,
Was ist aber mit den RSA Keys oder den Preshared Keys? die müssten doch genau auszulesen zu sein und müssen somit ausgetauscht werden.
