Indy Sicherheitslücken bei (Open)SSL gefixt: Version 0.9.8e

[Assertor]

Hallo DPler,

ich frage mich, ob es für Indy auch endlich eine aktualisierte OpenSSL dll Sammlung gibt. Die verfügbaren Versionen 0.96 bis 0.96m glänzen ja mit etlichen Buffer Overflows etc.

Aktuell ist die 0.9.8e. Weiß einer, wo ich die für Indy herbekomme?

[Sarkasmus]Oder sind alle durchschnittlichen Delphi-Programmierer Inselbewohner und wundern sich, daß Sie irgendwann in Secunia stehen [/off]

Gruß winkel79

P.S.:


Aktuelle Version OpenSSL v0.9.8e (Stable): http://www.delphipraxis.net/internal...=732035#732035 (6 Beiträge tiefer)


[edit=Matze]Link hinzugefügt. MfG, Matze[/edit]
[edit=Matze]Thema als "wichtig" markiert. MfG, Matze[/edit]
[edit=Matze]Thema wieder als "normal" markiert. MfG, Matze[/edit]

[Bernhard Geyer]

Indy mit Download-URL

[Assertor]

Hallo Bernhard,

Zitat von Bernhard Geyer:

Indy mit Download-URL

danke für die knappe Antwort aber:

Da kennt sich aber einer nicht mit den Indys aus

Nein, das sind die puren Indys. Aber nicht die speziell für Indy kompilierte Version der OpenSSL dlls. Diese enthalten Anpassungen für Indy und daher kann ich leider keine precompiled Binaries für Win32 nutzen.

So viele leute nutzen die Indys mit den OpenSSL dlls in alten Versionen. Hoffentlich nicht im professionellen produktiven Bereich. Da könnte man auch die eigene Software gebundelt mit Win XP SP1 - Rechnern verkaufen. Exploits gibt es auch dafür.

Legen denn andere Delphi Programmierer keinen Wert auf sichere Anwendungsentwicklung?

Gruß winkel79

[DGL-luke]

Ich glaube, hier im Forum wirst du niemanden finden, der dir da helfen kann.

[Assertor]

Zitat von DGL-luke:

Ich glaube, hier im Forum wirst du niemanden finden, der dir da helfen kann.

Das befürchte ich auch. Aber das Thema ist ja wirklich wichtig, an sich sollte es sogar einen eigene Themengruppe für die Sicherheits- und Stabilitätsaspekte von professioneller Anwendungsentwicklung in Delphi geben...

Es kann ja nicht sein, daß jeder über Sicherheitslücken in Windows, dem Internet Explorer oder so meckert, aber selbst wird programmiert ohne Rücksicht auf Verluste. Häufig keine Fehlerbehandlung (Delphi hat ja Exceptions , keine Typprüfung, keine Tests für die unwahrscheinlichen Fälle von Fehlfunktionen etc.pp.

Zum aktuellen Problem: Ich erstelle gerade selber angepasst Versionen der aktuellen dlls unter Cygwin. Diese stelle ich gerne zur Verfügung (Win32 dlls für Indy 9 und 10, x64 dlls sind mangels Delphi Unterstützung für x64 bisher ja noch obsolet). Vielleicht kann sich mal ein Moderator hier einschalten.

Gruß winkel79

[DGL-luke]

Ich habe bereits für ein kommerzielles Projekt kleinere Tests gemacht mit Indy + Indy SSL Handlers + OpenSSL (allerdings für ein nicht sooooo kritisches Teilprojekt, wenn man Ethereal aussperrt langts schon - und gegen einen professionell ausgeführten Angriff (mitm und ähnliches) kann man auch sonst wenig tun).

Wäre also an einer überarbeiteten Version sehr interessiert.

[Assertor]

Welch ein Meisterwerk...

Nach ewigem Patchen und Kompilieren präsentiere ich der DP:
OpenSSL v0.9.8e (Stable) für Indy inkl. dem aktualisierten Headerfile für Indy.

Das Headerfile (IdSSLOpenSSLHeaders.pas) sollte auch unter Indy 9 funktionieren, getestet aber nur unter Indy 10.

Über Rückmeldungen freue ich mich.

Dann könnt Ihr auch Buffer-Overflow-frei Eure Software erzeugen! Zumindest was OpenSSL angeht...



Kurzanleitung:
Headerfile ins Programmverzeichnis, damit Delphi anstelle des Originals einbindet. Ggf. Projekt "neu erstellen".
Die Dateien libeay32.dll und libssl32.dll in das Verzeichnis der fertigen Anwendung.

Achtung: Der Name hat sich geändert. Seit längerem heißt das zweite File libssl32.dll und nicht mehr ssleay32.dll. Also die Dateien nicht umbenennen, sonst findet Euer Programm ggf. die zweite Datei woanders und macht einen Versionsmix (Dll-Hell genannt )

Lizenz wie bei den ursprünglichen Autoren.

Wer möchte, kann auch die Patch-Instruktionen (verschiedene Quellen für Versionen < 0.9.8 die mir geholfen haben) mit ca. 2 MB als ZIP und den fertig gepatchten Source der OpenSSL haben (ca. 14 MB als ZIP).

Gruß winkel79

[Wonderdoc]

@winkel79

Danke erstmal für die Erstellung der akt. Libs.
Für Indy9 mußte ich die IdSSLOpenSSLHeaders.pas noch ein wenig anpassen, da die IDSys.dcu bei Indy9 nicht vorh. ist.

mfg
Wonderdoc

[kochma]

Hallo,

wisst ihr eigentlich, ob man die OpenSSL-Dlls in Deutschland mit einem Programm weitergeben darf?

Zitat:

PLEASE REMEMBER THAT EXPORT/IMPORT AND/OR USE OF STRONG CRYPTOGRAPHY SOFTWARE, PROVIDING CRYPTOGRAPHY HOOKS OR EVEN JUST COMMUNICATING TECHNICAL DETAILS ABOUT CRYPTOGRAPHY SOFTWARE IS ILLEGAL IN SOME PARTS OF THE WORLD. SO, WHEN YOU IMPORT THIS PACKAGE TO YOUR COUNTRY, RE-DISTRIBUTE IT FROM THERE OR EVEN JUST EMAIL TECHNICAL SUGGESTIONS OR EVEN SOURCE PATCHES TO THE AUTHOR OR OTHER PEOPLE YOU ARE STRONGLY ADVISED TO PAY CLOSE ATTENTION TO ANY EXPORT/IMPORT AND/OR USE LAWS WHICH APPLY TO YOU. THE AUTHORS OF OPENSSL ARE NOT LIABLE FOR ANY VIOLATIONS YOU MAKE HERE. SO BE CAREFUL, IT IS YOUR RESPONSIBILITY.

Grüße,

km

[DGL-luke]

Nein, noch nicht alle aspekte von praktischer vernunft sind in Deutschland inzwischen illegal.