Abo
  1. Foren
  2. Kommentare
  3. Internet
  4. Alle Kommentare zum Artikel
  5. › DoS-Angriffe: Hash-Kollisionen können…

Entschuldigung, aber der Artikel ist …

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Entschuldigung, aber der Artikel ist …

    Autor: EisenSheng 28.12.11 - 22:20

    und das mit verlaub, wertlos.

    * Wofür wird der Algorithmus genau genutzt?
    * Sind tatsächlich die Webserver (Apache, Nginx, Lighttpd!) betroffen oder die Interpreten der Sprachen?
    * Sind möglicherweise nur einzelne Frameworks betroffen? (Spring, Django, Python etwa auch?)
    * Besteht spontan eine Möglichkeit sich dagegen zu schützen?

    Das sind Fragen, die bei mir offen geblieben sind. Das was im Artikel steht dient nur der Panikmache, der Informationsgehalt ist wirklich sehr gering.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  2. Re: Entschuldigung, aber der Artikel ist …

    Autor: Quack 28.12.11 - 22:34

    Die Fragen beantwortet das 6-seitige PDF, das im Artikel verlinkt ist.
    Hätte mir aber auch gewünscht, dass der Artikel die zentralen Punkte knackig auf den Punkt bringt, statt sich mit so einem Geschwurbsel wie "10.000 Core-i7-CPUs" aufzuhalten.

    Hoffe das war jetzt sachlich genug, damit mein Beitrag nicht wieder nach /dev/null verschoben wird.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  3. Re: Entschuldigung, aber der Artikel ist …

    Autor: daftpunk2 28.12.11 - 23:20

    > * Wofür wird der Algorithmus genau genutzt?

    Steht doch im Artikel, um den Server langsam auf eine (Prozessor-)Last von 100% zu bringen, damit er unbenutzbar wird.

    > * Sind tatsächlich die Webserver (Apache, Nginx, Lighttpd!) betroffen oder
    > die Interpreten der Sprachen?

    Es sind die Script-Sprachen.

    > * Sind möglicherweise nur einzelne Frameworks betroffen? (Spring, Django,
    > Python etwa auch?)

    Nein, jede Webseite die POST requests empfangen kann, also wohl fast alle da draussen ;)

    > * Besteht spontan eine Möglichkeit sich dagegen zu schützen?

    Ja, update installieren, bei php kann man jetzt schon suhosin nutzen, sollte eigentlich auf jedem Server drauf sein! suhosin.post.max_vars

    Benutzer wird von Ihnen ignoriert. Anzeigen

  4. Re: Entschuldigung, aber der Artikel ist …

    Autor: 7hyrael 28.12.11 - 23:36

    tja man muss das ganze halt auch für die galileo-generation greifbar machen, was selbst jetzt, ohne "badewannen bis zum mond stapeln"-Vergleich nur schwer möglich wird *SCNR*

    Benutzer wird von Ihnen ignoriert. Anzeigen

  5. Re: Entschuldigung, aber der Artikel ist… zu kompliziert

    Autor: Somian 29.12.11 - 07:22

    Ich würde eher sagen dass er mir zu sehr auf die Zielgruppe Profis ausgelegt ist (ok, IT-news für Profis, aber das hier… oO) ich würde mich auch nicht gerade als ahnungslosen computeruser sehen sondern eher als professionellen Anwender. aber der rtikel liebst sich für mich wie…

    "Durch da Ausnutzen eines CLG im FMB des UND kann eine Orbitalinjektion der Serverseitigen UNT hervorgerufen werden wodurch die Projektion der OBN-anomalien auf unbestimmte FMB-konstellationen trifft und somit einen LFS-fail im TGN-bus auslösen. wie auf der CNT 2010 bereits mitgeteilt wurde, sind sowie CBM als auch ULKS Systeme betroffen und die einzige Lösung ist, den WTFBBQ gegen angriffe am LOL-port zu immunisieren."

    So. :D Wär echt gut, wenn ihr zumindest die einzelnen Begriffserklärungen verlinken könntet und mit Fußnoten am Rand oder so einzelne dinge erklärt damit auch der gemeine DAU der nur 2 Jahre Netzwekkram und ähnliches gelernt hat und beim frühstücken über SSH in vi serverseitige php-configs umschreibt auch was davon hat :D

    Benutzer wird von Ihnen ignoriert. Anzeigen

  6. Re: Entschuldigung, aber der Artikel ist …

    Autor: zilti 29.12.11 - 10:04

    daftpunk2 schrieb:
    --------------------------------------------------------------------------------
    > > * Sind tatsächlich die Webserver (Apache, Nginx, Lighttpd!) betroffen
    > oder
    > > die Interpreten der Sprachen?
    >
    > Es sind die Script-Sprachen.

    Falsch. Die Sprachen schonmal gar nicht. Es sind die Server der Sprachen (PHP, ASP.NET, Glassfish, Tomcat, Jetty) speziell deren Hashfunktion. Steht übrigens so im Artikel...

    Benutzer wird von Ihnen ignoriert. Anzeigen

  7. Re: Entschuldigung, aber der Artikel ist …

    Autor: HerrJaeger 31.12.11 - 10:16

    zilti schrieb:
    --------------------------------------------------------------------------------
    > daftpunk2 schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > > * Sind tatsächlich die Webserver (Apache, Nginx, Lighttpd!) betroffen
    > > oder
    > > > die Interpreten der Sprachen?
    > >
    > > Es sind die Script-Sprachen.
    >
    > Falsch. Die Sprachen schonmal gar nicht. Es sind die Server der Sprachen
    > (PHP, ASP.NET, Glassfish, Tomcat, Jetty) speziell deren Hashfunktion. Steht
    > übrigens so im Artikel...


    Das stimmt so nicht, zumindest nicht im Java-Umfeld. Die HashMap-Implementierung (und auch Hashtable) wird von der JRE geliefert (bzw. gehört zum "Standard-Umfang" dazu). Sie nutzen natürlich einfach die Object.hashCode()-Methode. Da die Keys immer Strings sind, wird demnach String.hashCode() genutzt. String wird auch von der JRE geliefert.
    Sie kann, und wird sich vermutlich auch, schonmal zwischen den einzelnen JVM-Implementierungen (Sun/Oracle, IBM, JRockit, ...) unterscheiden.

    Die Appserver nutzen wiederrum HashMaps. Natürlich könnten sie auch eigene Hash-Tabellen implementieren, nur ist das nicht der Ansatz in der Java-Welt.

    Zur "Lösung". Mal eben so String.hashCode() so zu ändern, daß die Methode einen Zufallswert einmischt ist trivial. Die Folgen hingegen sind IMHO verheerend. Ich vermute, daß die Performance gefühlt darunter leiden würde, weil HashMaps, HashSets und co einfach viel zu häufig genutzt werden, nicht nur zum Lagern von POST-Parametern.
    Ich hoffe, daß die Lösung deshalb eher in Richtung anderer Hash-Tabellen-Implementierung laufen wird, NonCollidingHashMap oder so. Oder die Appserver implementieren die Lagerung selbst.

    Benutzer wird von Ihnen ignoriert. Anzeigen

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login


Anzeige
  1. Architect Microsoft Exchange / Lotus Notes (m/w)
    T-Systems International GmbH, Leinfelden-Echterdingen, Bonn, Bremen, Hamburg, München
  2. Prozess- und Systemgestalter im Bereich IT AfterSales (m/w)
    Daimler AG, Neu-Ulm
  3. Ingenieur Verfahrenstechnik / Wirtschaftsingenieur / Mathematiker (m/w)
    Raffinerie Heide GmbH, Hemmingstedt
  4. Junior Softwareentwickler C# / Java (m/w)
    Mönkemöller IT GmbH, Stuttgart

Detailsuche



Anzeige


Haben wir etwas übersehen?

E-Mail an news@golem.de


Telefonabzocke: Dirty Harry erklärt mein Windows für kaputt
Telefonabzocke
Dirty Harry erklärt mein Windows für kaputt
  1. Security Ransomware-Bosse verdienen 90.000 US-Dollar pro Jahr
  2. Security-Studie Mit Schokolade zum Passwort
  3. Festnahme und Razzien Koordinierte Aktion gegen Cybercrime

Autotracker Tanktaler: Wen juckt der Datenschutz, wenn's Geld gibt?
Autotracker Tanktaler
Wen juckt der Datenschutz, wenn's Geld gibt?
  1. Ubeeqo Europcar-App vereint Mietwagen, Carsharing und Taxis
  2. Rearvision Ex-Apple-Ingenieure entwickeln Dualautokamera
  3. Tod von Anton Yelchin Verwirrender Automatikhebel führte bereits zu 41 Unfällen

Zenbook 3 im Hands on: Kleiner, leichter und schneller als das Macbook
Zenbook 3 im Hands on
Kleiner, leichter und schneller als das Macbook
  1. 8x Asus ROG 180-Hz-Display, Project Avalon, SLI-WaKü-Notebook & mehr
  2. Transformer 3 (Pro) Asus zeigt Detachable mit Kaby Lake
  3. Asus Zenbook Flip kommt für fast 800 Euro in den Handel

  1. Battlefield 1 angespielt: Zeppeline, Sperrfeuer und die Wiedergeburts-Spritze
    Battlefield 1 angespielt
    Zeppeline, Sperrfeuer und die Wiedergeburts-Spritze

    E3 2016 Electronic Arts hatte neben der im Stream gezeigten Fassung von Battlefield 1 für ausgewählte Journalisten noch eine weitere Version auf der E3 im Gepäck: die Closed Alpha. In einem dunklen Konferenzraum durften wir abseits vom Messetrubel Gameplay aufzeichnen und erste Eindrücke des kommenden Multiplayer-Shooters im ersten Weltkrieg sammeln.

  2. Förderung: Telekom räumt ein, dass Fiber-To-The-Home billiger sein kann
    Förderung
    Telekom räumt ein, dass Fiber-To-The-Home billiger sein kann

    Fiber-To-The-Home (FTTH) kann billiger sein, räumt die Deutsche Telekom ein. Dies gelte für abgelegene Ortsteile, Weiler und Gehöfte. Vectoring wird zudem nicht staatlich gefördert.

  3. Procter & Gamble: Windel meldet dem Smartphone, wenn sie voll ist
    Procter & Gamble
    Windel meldet dem Smartphone, wenn sie voll ist

    Pampers mit Sensoren sind für den Procter & Gamble-Konzern eine Option. Zahnbürsten melden bereits, wenn der Nutzer zu stark drückt oder zu kurz putzt.


  1. 15:00

  2. 10:36

  3. 09:50

  4. 09:15

  5. 09:01

  6. 14:45

  7. 13:59

  8. 13:32