Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Sicherheit: Angeblich Backdoor im…

Flüchtiger Code-Review... komischer Code

  1. Thema

Neues Thema Ansicht wechseln


  1. Flüchtiger Code-Review... komischer Code

    Autor: Siwa 15.12.10 - 13:52

    In der Tat scheint etwas an der Funktion icmp6_mtudisc_update() [ab http://fxr.watson.org/fxr/source/netinet6/icmp6.c?im=10#L1202] auf den ersten Blick nicht zu stimmen. Die Verwendung in der Datei http://fxr.watson.org/fxr/source/netipsec/ipsec_input.c#L883 konnte ich nicht ganz nachvollziehen. Sicher, dass war nur ein sehr flüchtiger Review aber für mich bleiben dort fälle ohne korrekte Behandlung.

  2. Re: Flüchtiger Code-Review... komischer Code

    Autor: bstea. 15.12.10 - 16:20

    Ich konnte nichts erkennen, sieht sehr sauber und kommentiert aus.

  3. Re: Flüchtiger Code-Review... komischer Code

    Autor: haheho 16.12.10 - 04:36

    Naja, allein die verwendung von union's ist bei sicherheitsrelavanten bereichen eher ein "you don't"... leider allzuoft doch anzutreffen, vom sk_buff im linuxkernel bis ipsec...

  4. Re: Flüchtiger Code-Review... komischer Code

    Autor: wonttell 16.12.10 - 09:42

    icmp6 vor 10 jahren? mit dem wissen, dass heute jemand reden koennte? eher unwahrscheinlich

  5. Re: Flüchtiger Code-Review... komischer Code

    Autor: bstea. 16.12.10 - 10:28

    Hallo,
    kannst du das näher erläutern oder eine Quelle zum nachlesen angeben.

    Danke.

  6. Re: Flüchtiger Code-Review... komischer Code

    Autor: haheho 16.12.10 - 10:50

    Nachlesen des "you don't" für union's im sicherheitsbereich?

    MISRA-C:

    Rule 18.4: Unions shall not be used

    QED

    Das ganze wird zwar noch ein wenig relativiert, das unter ganz bestimmten umständen soetwas für effiziente Implementierungen nützlich sein kann. IP Stacks sind vllt. genau so eine Ausnahme - ein "gschmäckle" bleibt aber immer bei unions...

  7. Re: Flüchtiger Code-Review... komischer Code

    Autor: haheho 16.12.10 - 10:54

    Sorry genauer gesagt MISRA-C 2004 (da haben u.a. die Regeln neue Nummern bekommen)

    http://en.wikipedia.org/wiki/MISRA_C

  8. Re: Flüchtiger Code-Review... komischer Code

    Autor: Siwa 17.12.10 - 23:27

    Ich habe mich heute nochmal mit mehreren Kollegen zusammengesetzt. An der oben genannten Stelle sind zwar tatsächliche einige Fälle nicht abgedeckt, diese stufen wir aber als für die Sicherheit belanglos ein. Trotzdem sollte ein solcher Code keine Freigabe erhalten in einem Sicherheitskontext... entweder ist der zuständige Leiter also entweder nicht ausreichend geschult (milde ausgedrückt), oder er winkt den Code bestimmter Commiter autuomatisch durch.

    Egal welcher Fall, wir werden unseren Kunden davon abraten entsprechende Systeme zu verwenden. Der Schaden der hier verursacht wurde geht allein bei uns in den 6-stelligen Bereich, da tausende Systeme umkonfiguriert werden müssen.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. MicroNova AG, München/Vierkirchen
  2. Hochschule Albstadt-Sigmaringen, Sigmaringen
  3. Landesbetrieb Mobilität Rheinland-Pfalz, Koblenz
  4. Fraunhofer-Institut für Produktionstechnik und Automatisierung IPA, Stuttgart

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. (-67%) 9,99€
  2. 5,99€
  3. (-80%) 1,99€
  4. 34,49€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Alienware m15 vs Asus ROG Zephyrus M: Gut gekühlt ist halb gewonnen
Alienware m15 vs Asus ROG Zephyrus M
Gut gekühlt ist halb gewonnen

Wer auf LAN-Partys geht, möchte nicht immer einen Tower schleppen. Ein Gaming-Notebook wie das Alienware m15 und das Asus ROG Zephyrus M tut es auch, oder? Golem.de hat beide ähnlich ausgestatteten Notebooks gegeneinander antreten lassen und festgestellt: Die Kühlung macht den Unterschied.
Ein Test von Oliver Nickel

  1. Alienware m17 Dell packt RTX-Grafikeinheit in sein 17-Zoll-Gaming-Notebook
  2. Interview Alienware "Keiner baut dir einen besseren Gaming-PC als du selbst!"
  3. Dell Alienware M15 wird schlanker und läuft 17 Stunden

Begriffe, Architekturen, Produkte: Große Datenmengen in Echtzeit analysieren
Begriffe, Architekturen, Produkte
Große Datenmengen in Echtzeit analysieren

Wer sich auch nur oberflächlich mit Big-Data und Echtzeit-Analyse beschäftigt, stößt schnell auf Begriffe und Lösungen, die sich nicht sofort erschließen. Warum brauche ich eine Nachrichten-Queue und was unterscheidet Apache Hadoop von Kafka? Welche Rolle spielt das in einer Kappa-Architektur?
Von George Anadiotis


    Elektromobilität: Der Umweltbonus ist gescheitert
    Elektromobilität
    Der Umweltbonus ist gescheitert

    Trotz eines spürbaren Anstiegs zum Jahresbeginn kann man den Umweltbonus als gescheitert bezeichnen. Bislang wurden weniger als 100.000 Elektroautos gefördert. Wenn der Bonus Ende Juni ausläuft, sind noch immer einige Millionen Euro vorhanden. Die Fraktion der Grünen will stattdessen Anreize über die Kfz-Steuer schaffen.
    Eine Analyse von Dirk Kunde

    1. Nissan x Opus Concept Recycelte Autoakkus versorgen Campinganhänger mit Strom
    2. NXT Rage Elektromotorrad mit Kohlefaser-Monocoque vorgestellt
    3. Elektrokleinstfahrzeuge Verkehrsminister Scheuer will E-Scooter zulassen

    1. Europäischer Polizeikongress: Weniger Datenschutz, kein Darknet
      Europäischer Polizeikongress
      Weniger Datenschutz, kein Darknet

      In Demokratien brauche es kein Darknet, meint der Staatssekretär Günter Krings auf dem europäischen Polizeikongress. Sein Nachredner fordert, sich am Datenschutzabbau in China zu orientieren.

    2. LPDDR5: Jedec spezifiziert schnellen Smartphone-Speicher
      LPDDR5
      Jedec spezifiziert schnellen Smartphone-Speicher

      Doppelte Geschwindigkeit und dennoch sparsamer: LPDDR5 wird künftig als Ersatz für den bisher verwendeten LPDDR4(X) in Smartphones stecken. Der RAM erreicht einen höheren Takt bei weniger Spannung, erste Hersteller wie Samsung produzieren ihn bereits seit einigen Monaten.

    3. IT-Jobs: Sein Code steckt in Tausenden Beinen
      IT-Jobs
      Sein Code steckt in Tausenden Beinen

      Wer Code für intelligente Prothesen schreibt, kann sich nicht kreativ austoben. Künstliche Beine müssen ihre Träger vor allem sicher die Treppe hinaufbringen. Golem.de hat einen Programmierer getroffen, der aus der Gaming-Branche kommt und sich auf Bionik umgestellt hat.


    1. 12:40

    2. 12:25

    3. 12:00

    4. 11:48

    5. 11:35

    6. 11:14

    7. 11:00

    8. 10:45