15 May 22:11
HTTPS : Ne dormez pas tranquilles (open-ssl advisory dsa-1571)
From: Mathieu Chappuis <mathieu.chappuis.lists <at> gmail.com>
Subject: HTTPS : Ne dormez pas tranquilles (open-ssl advisory dsa-1571)
Newsgroups: gmane.linux.debian.user.french
Date: 2008-05-15 20:14:16 GMT
Subject: HTTPS : Ne dormez pas tranquilles (open-ssl advisory dsa-1571)
Newsgroups: gmane.linux.debian.user.french
Date: 2008-05-15 20:14:16 GMT
Bonsoir, Toujours à propos de : http://www.debian.org/security/2008/dsa-1571 " Luciano Bello discovered that the random number generator in Debian's openssl package is predictable. This is caused by an incorrect Debian-specific change to the openssl package (CVE-2008-0166). As a result, cryptographic key material may be guessable " J'insiste, mais il n'y a pas que la partie SSH qui est touchée.. Si comme moi vous avez généré des demandes de certificats SSL à partir d'une version compromise d'open-ssl (debian) vous pouvez vite demander une regénération complète de vos certificats à votre prestataire, quand c'est possible, car vos .key ne valent pas clopette.. # openssl-vulnkey monsite.key Enter pass phrase for monsite.key: Enter pass phrase for monsite.key: COMPROMISED: ee257875dc2395304e8518fd6b62006847ad56a7 monsite.key Le package n'est pas proposé dans testing : voilà un lien http://wiki.debian.org/SSLkeys?action=AttachFile&do=get&target=openssl-blacklist_0.1-0%7Edebian-1_all.deb Sinon voir : http://wiki.debian.org/SSLkeys(Continue reading)
Bon évidemment, c'est ma solution parce que je n'ai que 10 clefs SSH à
gérer et 5 certificats. J'imagine que des structures plus importantes
vont peut-être chercher à optimiser la chose, mais pour information: les
tentatives de connexions sur le port 22 de mon serveur ont explosée
depuis 2 jours. Je reste serein puisqu'il est protégé par du
port-knocking mais tout le monde n'est pas dans mon cas 
>> >> En ce qui conerne les impôts, le mieux est de leur poser la
>> >> question. Je ne sais pas personnellement ce qu'ils utilisent
>> >> pour générer leurs certificats (mais je pencherais pour un
>> >> dispositif matériel vu la quantité de certificats gérés)
> >
> > Autrement dit : le certificat est généré par les Impôts, donc
> > le fait que vous ayez utilisé ce certificat sur une Debian ne
> > devrait poser aucun problème. (Il ne pourrait y avoir de
> > problème que si les Impôts ont utilisé une Debian touchée pour
> > ce faire, ce qui est fort peu probable.)
> >
Plus généralement, si votre certificat est signé par une CA "officielle"
(Verisign and co), le mieux est de prendre contact avec eux.
Si vous avez généré votre certificate request sous Debian ou si leur CA
l'a été, vous avez gagné !
Bon week-end,
JB
RSS Feed