Paweł Goleń, blog - Formularz komentarzy "O timing attacks"

ukash: O timing attacks

nospam@example.com (ukash) — Sat, 24 Jul 2010 14:54:48 +0200

Czekam na wyniki eksperymentów dotyczących zmiennego czasu porównywania stringów. Temat interesujący, jednak jak wiele osób, nie narzekam na nadmiar wolnego czasu, żeby samemu poeksperymentować. Pozdrawiam!

Paweł Goleń: O timing attacks

nospam@example.com (Paweł Goleń) — Tue, 20 Jul 2010 07:17:54 +0200

Zwróć uwagę, że znaczna część komentarzy z tematem ma związek dość luźny. Wiele z nich odnosi się do hasła, a w tym przypadku nie o hasło przecież chodzi. Same komentarze są jednak ciekawe, przynajmniej moim zdaniem, nawet w oderwaniu od głównego tematu. Przykładowo fakt, że == nie jest operacją, która trwa zawsze tyle samo jest wiedzą nieco zapomnianą.

kravietz: O timing attacks

nospam@example.com (kravietz) — Mon, 19 Jul 2010 21:01:33 +0200

Nie wydaje mi się, by ta dziura w OAuth i OpenID zasługiwała na taką liczbę komentarzy jaką wygenerowała. Dyskusje o losowych opóźnieniach jest w jej kontekście zupełnie bezprzedmiotowa bo cała poprawka polega na zmianie kolejności weryfikacji dwóch wartości kryptograficznych - signature i nonce. Weryfikacja nonce przed signature łata dziurę bo wtedy czas weryfikacji jest stały.