Vlákno názorů k článku Nekopírujte kód z diskusních fór, jsou v něm bezpečnostní chyby od Starous - Ono třeba u TLS je další problém v...
-
Starous (neregistrovaný)
Ono třeba u TLS je další problém v tom že co je best practice před 2 roky je dneska brané jako zranitelné a z komentářů to nemusí být patrné - dobře hodnocené odpovědi žijí dlouho. IMHO Obecně problém u bezpečnostních otázek je že většina vývojářů na ně odpoví špatně a jen menšina ví jaké jsou aktuální best practices....proto tam palce nahoru a dolů příliš nefungují
-
Jj, třeba AES-CBC v TLS považují za "insecure", ale jednak pro legacy aplikace je to relativně OK (a nevíme, jak staré aplikace hodnotili). AES-CBC implementace v TLS netrpí na padding oracle a BEAST je prakticky nepoužitelný.
Co je zvláštní, tak mají AES-CBC v tabulce 2 insecure u TLS a na obou stranách v tabulce 3 o symetrických šifrách, přitom je mnohem pravděpodobnější, že někdo při použití AES-CBC mimo TLS vyrobí padding oracle (a ne naopak).
