L'analyse est intéressante à lire. Mais cela me rappelle trop une certaine époque en php où il n'était cesser de râbâcher que les entrées utilisateurs c'est le mal absolu et qu'il fallait s'en méfier comme de bill gates.
Mais le fait est que s'appuyer sur la compétence des hommes, même les meilleurs de chez openssl, ne peux suffire pour se mettre à l'abri.
Du coup, comme suggéré en fin d'article, changer de langage reste la seule option décemment concevable.
A t'on réellement besoin de le faire en C ?
La rapidité d'exécution est elle si nécessaire pour ce point particulier ?
Je veux dire que la crypto par la nature même de la solution qu'elle apporte est très lente à exécuter sur un ordinateur.
Ne peut on pas dès lors se permettre un peu plus de lenteur au prix d'une sécurité véritablement accrue ?
Dit autrement, a quand une implémentation d'openssl en rust ?
Bon par contre, pour un genre de raison similaire à ce cve, Java n'est pas une alternative envisageable :D /désolé/
[^] # Re: Une analyse du bug.
Posté par maboiteaspam . En réponse à la dépêche Nouvelle vulnérabilité dans l’implémentation OpenSSL. Évalué à 4.
L'analyse est intéressante à lire. Mais cela me rappelle trop une certaine époque en php où il n'était cesser de râbâcher que les entrées utilisateurs c'est le mal absolu et qu'il fallait s'en méfier comme de bill gates.
Mais le fait est que s'appuyer sur la compétence des hommes, même les meilleurs de chez openssl, ne peux suffire pour se mettre à l'abri.
Du coup, comme suggéré en fin d'article, changer de langage reste la seule option décemment concevable.
A t'on réellement besoin de le faire en C ?
La rapidité d'exécution est elle si nécessaire pour ce point particulier ?
Je veux dire que la crypto par la nature même de la solution qu'elle apporte est très lente à exécuter sur un ordinateur.
Ne peut on pas dès lors se permettre un peu plus de lenteur au prix d'une sécurité véritablement accrue ?
Dit autrement, a quand une implémentation d'openssl en rust ?
Bon par contre, pour un genre de raison similaire à ce cve, Java n'est pas une alternative envisageable :D /désolé/