Debiani openssl kompromiteeritud

[cbr]

http://lists.debian.org/debian-security ... 00152.html

Kõik kuni viimase 2 aasta jooksul Debiani openssl-iga loodud krüptovõtmed võivad olla kompromiteeritud, kuna üks Debiani poolt lisatud patch muutis randomi ennustatavaks.

[mihkel]

http://security.debian.org/project/extr ... owkd.pl.gz

Võtmete kontrolliks.
Probleem on/oli kõikide debianil baseeruvate distrodega.

[spott]

Panin selle uudisena üles.

[KristjanS]

Kompromiteeritud - mida sõna?

[mihkel]

Mis sõnal viga?

[antik2]

http://lists.debian.org/debian-security ... 00152.html

Kõik kuni viimase 2 aasta jooksul Debiani openssl-iga loodud krüptovõtmed võivad olla kompromiteeritud, kuna üks Debiani poolt lisatud patch muutis randomi ennustatavaks.

Milleks parandada/patchida asja, mille töökindluses on kõik juba ammuilma kindlad?

Kui ta töötab, siis ära näpi!

[KristjanS]

Mis sõnal viga?

Kole sõna, ÕS-is või mitte. Aga siis selle tähendusega on pealkiri "Debiani openssl-ile halba varju heidetud"?

[PeTzZz]

Mis sõnal viga?

Kole sõna, ÕS-is või mitte. Aga siis selle tähendusega on pealkiri "Debiani openssl-ile halba varju heidetud"?

Ei ole midagi. Mida rohkem erinevat sõnavara kasutada, seda parem. Näitab erudeeritust.

[cbr]

No ma ei tea. Inglise keeles lihtsalt vahel öeldakse "compromised". Sealt võtsingi.

[indrek]

"Kaotanud usaldatavuse" võiks olla üks eestikeelne tõlge. Tegelikult see compromised suht tavaline sõna igasugu spioonikirjanduses, tuleks vaadata, kuidas tõlgitud on. Nagu tundub, et teinekord kasutatakse terminit "kompromiteeritud", aga ei ole kindel.

[KristjanS]

Mis sõnal viga?

Kole sõna, ÕS-is või mitte. Aga siis selle tähendusega on pealkiri "Debiani openssl-ile halba varju heidetud"?

Ei ole midagi. Mida rohkem erinevat sõnavara kasutada, seda parem. Näitab erudeeritust.

Inglishist transleerimisel näitab selline leksika eelkõige translaatori laiskust.
Olen nüüd väga erudeeritud isik?

[PeTzZz]

Inglishist transleerimisel näitab selline leksika eelkõige translaatori laiskust.
Olen nüüd väga erudeeritud isik?

Antud juhul on lugu tõepoolest väheke teine.

Loodetavasti läheb järgnev jutt teemasse tagasi.

[johnsmith]

Ma loodan, et kõik debiani derivaatide kasutajad on uuendanud openssl -i librad ja andnud kinga kõikidele ssh võtmetele ning genereerinud uued võtmed.

Võttes arvesse ssh võtmete erinevat suurust ja algoritmi on ainult 32767 erinevat sama suuruse ja algoritmiga võtme võimalust. Ohus on põhiliselt need kes kasutavad võtmega sisselogimist sshd serverisse. Siis suvaline süsteem (mitte debian kaasaarvatud)kus kliendi avalik võti on kopeeritud authorized_keys faili mis asub sshd kataloogi all. Võtmega sisselogimine teatavasti on sshd puhul ennem kui salasõnaga ja sobiva võtme puhul logitakse klient koheselt sisse.

Väiksem oht on salasõnaga sisselogimist kasutavad süsteemidel aga ka siis on võimalik snifferdatud võrguliiklus lahtikrüptitav mõne tunni jooksul.
Omades sshd serveri rsa avalikku võtit mis teatavasti pole saladus(tegelikult iga sshd server saadab kliendile koheselt serveri avaliku võtme) on võimalik järgneval lingil olevaid librasid kasutades genereerida serveri salajase võtme mis võimaldab esineda antud serverina jne.
http://metasploit.com/users/hdm/tools/debian-openssl/

[JannoT]

Jube kus neid update selle kohta olnud on(Tervel kaks kokku ). Praegu tuli mul veel üks ssl'i puudutav update. Loodame ,et nüüd siis asi korras.