Diskuze

Kritická chyba: dva roky byly vaše zabezpečené komunikace nezabezpečené

Závažná chyba při generování klíčů prostřednictvím systému Debian OpenSSL způsobuje bezpečnostní hrozbu, jejíž důsledky přetrvávají i po opravě a může mít vliv i na další operační systémy.
Litujeme, ale tato diskuse byla uzavřena a již do ní nelze vkládat nové příspěvky.
Děkujeme za pochopení.

Nemo7

26. 5. 2008 17:46
Pěkný souhrn z Živě

1. Co sa stalo? - Zmena kodu v jednom z modulov OpenSSL v debian sposobila, ze kluce generovane tymto modulom maju slabu mieru entropie a daju sa uhadnut. Tyka sa to vsetkych klucov generovanych v debian, cize SSH keys, OpenVPN keys, DNSSEC keys, X.509 certifikatov a klucov, ktora sa pouzivaju pri TLS/SSL session.

2. Ake distra su postihnute? - debian Etch, Lenny, Sid a derivaty. Ziadne ine distro pouzivajuce OpenSSL postihnute nie je, pretoze OpenSSL ako taka je v poriadku. (relativne :) ).

3. Su postihnute kluce generovane GnuPG a PGP? - Nie su. Ani na debiane, ani inde.

4. Ak mam RSA/DSA kluce generovane na Linuxe/Windows/BSD, mozem ich bezpecne pouzivat na postihnutom debiane? - Bohuzial nie, Tieto kluce su automaticky kompromitovane a mali by sa vyradit, pretoze cez DSA attack sa da vytiahnut privatny kluc.

0 0
možnosti

Nemo7

26. 5. 2008 17:46
Re: Pěkný souhrn z Živě

5. Musim si kupit novy SSL certifikat? - Nie. Ak mas validne CSR, vsetky Certifikacne autority ti vydaju novy certifikat bezplatne po dobu zivnostnosti certifikatu. Verisign oznamil, ze vyda nahradu bezplatne, ak o nu poziadas do 30. juna.

6. Moje bankove konto je v ...... - Uplna chobotina. Banky nepouzivaju OpenSSL na generovanie klucov. Rovnako nepouzivaju ziadne linuxove distro out-of-the-box.

7. Toto je strasna IT tragedia, vacsia nez Cernobyl. - Uplna chobotina. Debian ma pod 3% serveroveho trhu.

8. Moj debian server je v nebezpeci, vsetci hackeri idu po mne - Uplna chobotina. Updatuj debian OpenSSL na najnovsiu verziu, regeneruj kluce a business as usual.

0 0
možnosti

Franta

26. 5. 2008 17:09
A pak ze je Linux bezpecny

Zlaty Microsoft....

Linuxaci tam maji diru jako vrata od stodoly a dva roky nejsou schopni na to prijit.....

0 0
možnosti

Nemo7

26. 5. 2008 17:23
Re: A pak ze je Linux bezpecny

Nejsem fanatik, používám oba systémy. Ale tady se aspoň na chybu přišlo a je z toho průšvih. Ve Winech si může díru podobného kalibru udělat MS (nebo NSA) a přijde na ni kdo ?

0 0
možnosti

Nemo7

26. 5. 2008 13:45
Oprava

>> Dva roky nikdo neřešil chybu v komponentě Debian OpenSSL.

Jenom bych poprosil redakci o opravu, ne že ji neřešili, vývojáři Debianu ji způsobili - knihovna je v pořádku.

http://www.root.cz/zpravicky/vazny-bezpecnostni-problem-s-openssl-v-debianu/

0 0
možnosti

Nemo7

26. 5. 2008 14:00
Re: Oprava

Ani není potřeba nic opravovat, z článku se to dá dál pochopit.

0 0
možnosti

mizar

26. 5. 2008 11:37
No flame

Touto chybou byla zasažena pouze distribuce Debian GNU/Linux ve verzích Etch Lenny a Sid. Patch odstaňoval chybu v použití neinicializované paměti (dle prg. Valgrind).

Viz http://wiki.debian.org/SSLkeys#head-76415d1c2f25f12ebbcc99bb93959a97f18e3b88

0 0
možnosti

kuba

26. 5. 2008 7:47
Oprava - klíče se vygenerují nové automaticky

Minimálně na Ubuntu se při automatické aktualizaci automaticky vygenerují nové klíče a instaluje se knihovna na detekci slabých klíčů. Proto bych to neviděl tak černě. Řekl bych, že tuto dobu je naprostá většina systémů už zabezpečena, přece jenom několik týdnů se o chybě už v distribucích ví.

0 0
možnosti
  • Nejčtenější

Kam pro filmy bez Ulož.to? Přinášíme další várku streamovacích služeb do TV

v diskusi je 125 příspěvků

26. března 2024

S vhodnou aplikací na vás mohou v televizoru na stisk tlačítka čekat tisíce filmů, seriálů nebo...

Z jaderné triády zbyly Britům už jen ponorky. A ty musejí posílit

v diskusi je 76 příspěvků

27. března 2024

Jadernou triádu tvoří strategické bombardéry s jadernými zbraněmi, mezikontinentální balistické...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Hlučínsko patří nám. Před 100 lety byl podepsán definitivní protokol o hranici

v diskusi je 26 příspěvků

28. března 2024

Před 100 lety definitivně skončily tahanice o československo-německé hranice. 28. března 1924 byl...

Rusko zastavilo odlet na ISS s první Běloruskou, letět měla i Američanka

v diskusi je 50 příspěvků

21. března 2024  10:23,  aktualizováno  14:26

Ve čtvrtek 21. března se necelých deset minut před půl třetí odpoledne měla vydat na Mezinárodní...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Načapali jsme otesánka, který se velkého sousta nezalekne. Boeing 747-400F

v diskusi je 8 příspěvků

21. března 2024

Poté, co na Letiště Václava Havla Praha přestaly v barvách Qatar Airways létat nákladní Boeingy...

Dočasná raketa se po téměř 70 letech loučí. Nyní startuje naposledy

v diskusi jsou 3 příspěvky

28. března 2024  15:36

Tento čtvrtek stojí na startovací rampě mysu Canaveral poslední potomek raket Thor, nosič Delta IV...

Američané odepsali modul, který je vrátil po půl století na Měsíc

v diskusi je 20 příspěvků

28. března 2024,  aktualizováno  11:41

Od začátku letošního roku je na Měsíci a kolem něj poměrně rušno. Vedle řady sond, které zamířily...

Hlučínsko patří nám. Před 100 lety byl podepsán definitivní protokol o hranici

v diskusi je 26 příspěvků

28. března 2024

Před 100 lety definitivně skončily tahanice o československo-německé hranice. 28. března 1924 byl...

Úspěšný let prototypu XB-1 vrací do hry cestování nadzvukovou rychlostí

v diskusi je 34 příspěvků

27. března 2024  17:17

Po více než dvaceti letech, od ukončení provozu letounu Concorde, se možná opět dočkáme nadzvukové...

2. týden: Vyhrajte dobroty pro batolata v hodnotě 3 466 Kč
2. týden: Vyhrajte dobroty pro batolata v hodnotě 3 466 Kč

Zúčastněte se volby jména roku 2024 a správně odpovězte na soutěžní otázku.