« 音の遅れが気になる… | トップページ | PCMデータのスループットが気になる… »

2014年5月19日 (月)

OpenSSLの教訓を

OpenSSLの脆弱性が話題になっていましたが、その記事を読んだ後、何気なくソースコードを整理していたら、データのサイズチェックを全然していないことに気が付きました。性善説に則ってました、というか忘れてた(^_^;

Heartbleed脆弱性は、クライアントから要求されたデータサイズを確認せずに、固定長64KBのデータを返してしまうのだそうです。要求したデータ以上のデータが返ってきて、そこに怪しげなデータが残っているかもよ、というものらしいです。

Brynhildrの通信では、コントロール(主にキーボード、マウスを想定)、画像データ(jpegストリーム)、PCMデータの三種類があって、Qt Brynhildrでは共用の固定サイズバッファ1つと画像データ、PCMデータ(データサイズ可変)のデータを受け取るローカルデータバッファとPCMデータを保持するリングバッファを管理していますが、それぞれ最大バッファサイズを決めているため、これを超えるデータが来たら弾く必要があります。

「可変長にすればいいじゃん」という話もありますが、バッファを取り直すのはいろいろ効率悪いので。あと意味不明に大きな値が返されるとクライアントがクラッシュするので、そういう意味でも制限を掛けておきます。

こういうことを考え始めると、あらゆるところでセキュリティを考えないといけないので、なかなか難しいですね。
まずパスワードを生テキストデータで保持しているという(^_^;酷い状況をなんとかしないと…

« 音の遅れが気になる… | トップページ | PCMデータのスループットが気になる… »

コメント

コメントを書く

コメントは記事投稿者が公開するまで表示されません。

(ウェブ上には掲載しません)

トラックバック

この記事のトラックバックURL:
http://app.f.cocolog-nifty.com/t/trackback/2011805/56247790

この記事へのトラックバック一覧です: OpenSSLの教訓を:

« 音の遅れが気になる… | トップページ | PCMデータのスループットが気になる… »

無料ブログはココログ
2017年4月
            1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30