Indy Sicherheitslücken bei (Open)SSL gefixt: Version 0.9.8e

[Assertor]

So, nun hier mal wieder die aktuellen Sicherheitsfixes.

Aktuelle OpenSSL Version 0.9.8g. Gepatch für Indy, mit Headern für Indy 9 und 10. Einfach die IdSSLOpenHeaders9.pas bzw. IdSSLOpenHeaders10.pas in IdSSLOpenHeaders.pas umbenennen und in den Suchpfad bzw das Projektverzeichnis.

Gefixte Lücken + Bugfixes unter http://www.openssl.org

Danke an WonderDoc für die Indy9 Headeranpassung.

Gruß winkel79

P.S: Nur 35 Downloads der ersten Fassung? Wer SSL einsetzt um sichere Verbindungen zu nutzen und dann bekannte Lücken offen läst, der brauch kein SSL. Das ist nur Show für die Kunden.

[SubData]

Mal einen Dank für die aktuelle Version :)


Edit: Macht den Thread mal einer Sticky? :)

[Wonderdoc]

Auch von mir ein recht schönen Dank für die neuen Libs.

mfg
Wonderdoc

[Assertor]

@SubData, @Wonderdoc

Danke für die netten Worte, dann macht das auch Spaß zu helfen!

Und danke fürs Sticky machen.

Gruß winkel79

[meolus]

Ich nutze inzwischen die Indy 10.2.0.3 "Lazarus/FreePascal Port", welche bis auf nen paar Kleinigkeiten - zumindest bei meinem MailClient mit TIdPOP3, TIdSMTP, TIdIMAP, TIdNNTP, TIdMessage - das gleiche wie die Indy 10.1.5 sind.
Indy 10 Lazarus/FreePascal Port: http://www.indyproject.org/Sockets/fpc/index.DE.aspx

Damit funktionieren die speziell kompilierten OpenSSL-DLLs nicht mehr, aber dafür die "normal" kompilierten, die man auch schnell selber machen kann:
OpenSSL-Source: http://www.openssl.org/source/
Anleitung: http://www.ximera.de/hamster.html#openssl-kompilieren

[Assertor]

Hallo meolus,

Danke für das Feedback!

Zitat:

Zitat von meolus

Indy 10.2.0.3 "Lazarus/FreePascal Port"

Da ich diese noch nicht getestet habe: Verwendest Du die mit Delphi oder mit FP/Lazarus?

Zitat:

Zitat von meolus

Damit funktionieren die speziell kompilierten OpenSSL-DLLs nicht mehr

Das ist klar. Die OpenSSL-Anpassungen sind speziell für die Delphi-Version der Indys und für deren Headerdateien. Nutzt Du die DLLs mit anderen Headerdateien gibt es Probleme.

Kannst Du sagen, was genau nicht geht? Gerne auch per PN. Vielleicht eine Fehlerbeschreibung, Fehlermeldung oder ähnliches?

Sobald ich etwas mehr Zeit habe (ca. April) werde ich auf der Indy Seite auch entsprechende Infos zu den OpenSSL Patches veröffentlichen.

Edit: Hab gerade gesehen, es soll eine gemeinsame Codebase für FP/Delphi sein. Es wurde hier an der OpenSSL Implementation geschraubt.

Es dürfte somit auch mit den herkömmlichen Delphi OpenSSL DLLs nicht gehen. Für diesen Port werden wohl die originalen OpenSSL DLLs verwendet. Das würde mir die Arbeit in Zukunft natürlich erleichtern ;)

Gruß Assertor

[meolus]

Ich nutze das "Borland Developer Studio 2006".

Bisher habe ich nur mein MailProgramm umgestellt (TIdPOP3, TIdSMTP, TIdIMAP, TIdNNTP, TIdMessage) und dabei musste ich dann konkret ändern:
- TIdAntiFreeze gibt es nicht mehr, ich habe jedoch habe ich keine Beeinträchtigung ohne.
- Bei OnWorkBegin und OnWorkEnd hat sich die Signatur von Sender: TObject; AWorkMode: TWorkMode; AWorkCountMax: Integer nach Sender: TObject; AWorkMode: TWorkMode; AWorkCountMax: Int64 verändert.
- Der Fehler, dass die Uhrzeit abhängig von der Zeitzone nicht korrekt ermittelt werden kann, funktioniert nun. Bei meinen Indy 10.1.5 war die entsprechende Funktion einfach leer :-/
- Den Bezeichnungen der Elemente der Sets TIdPOP3AuthenticationType und TIdSMTPAuthenticationType wurden ein "p" bzw. "s" vorne angefügt (z.B. atUserPass => patUserPass)

Ansonsten halt die Veränderung mit den jetzt unveränderten OpenSSL-DLLs.
Hab mein Programm vor 1,5 Wochen auf Indy 10.2.0.3 geändert und kompiliert und nutze es seitdem, alle paar Stunden, ohne Probleme. :)

Ich weiß nicht wie ihr normalerweise die Indy-Komponenten verwendet, aber ich füge die gar nichtmal der Komponenten-Palette hinzu (scheint auch gar keine *.dpk-Dateien zu geben bei den 10.2.0.3ern), sondern trage die lediglich in den Projekten zu "Suchpfad" und "Pfad für Debugger" ein. Dies bezüglich sind die jetzt auch schöner, da man nur noch das "fpc"-Verzeichnis dort hinzufügen muss, anstatt "Core", "Protocols", "SuperCore" und "System" in genau dieser Reihenfolge.
Auch die Indy-Komponenten die beim BDS'06 dabei sind installiere ich nie, weil die bei mir noch nie funktioniert haben, d.h. meine Projekte waren auf einmal instabil und fehlerhaft.

EDIT:

Zitat:

Kannst Du sagen, was genau nicht geht?

Ich habe also nichts bis auf das schätzungsweise obsolete TIdAntiFreeze gefunden, was überhaupt nicht mehr geht, sondern nur ein paar Anpassungen von Bezeichnern und Signaturen.

BTW: Da fällt mir noch ein:
Die GetVersion-Methode die es früher glaube ich bei jeder Komponente aus Indy gab habe ich noch nicht wieder gefunden.

EDIT2:
Die beiden DLLs müssen noch immer libeay32.dll und ssleay32.dll sein; also die libssl32.dll umbenennen in ssleay32.dll.

[Assertor]

Hallo DPler,

mal eine aktuelle Anpassung. Korrekte DLLs und neue Header für Indy9/10/10 SVN.

Grund:
Mir ist u.a. in Retail-Software bei der Arbeit (!) aufgefallen, dass manche Leute die Umbenennung der DLLs im OpenSSL-Stil nicht verstanden haben. In Rücksprache mit Olaf sind die DLLs nun nach der alten Delphi-Konvention benannt.

Bei OpenSSL sind die Namen:
libssl32.dll
libeay32.dll

Bei Indy für Delphi waren und sind die Namen (jetzt wieder):
ssleay32.dll (diese Datei ist absolut identisch mit meiner vorherigen libssl32.dll aus 0.9.8g)
libeay32.dll

Also: Bitte aufpassen und keine -3- Dateien ausliefern.

Gruß Assertor

:dp:

[Assertor]

Nachtrag:

Da das ganze hier etwas unübersichtlich wird, habe ich Matze gebeten, diesen Thread nicht mehr als Sticky zu markieren.

Ich werde kurzfristig (heute?) ein aktuelles Update auf OpenSSL 0.9.8h nachlegen - dies jedoch in einem neuen Thread der dann nur für die aktuellen Updates ist.

Update: Alle Updates sind ab jetzt in http://www.delphipraxis.net/internal...=896974#896974 zu finden.

Gruß Assertor