Critisch lek OpenSSL Debian dist

**Hosting123** · 19/05/08 19:59

Hallo,

Ik kreeg dit doorgegeven via MSN en ben inmiddels al mijn servers aan het controleren, weet iemand er meer over?

http://www.govcert.nl/download.html?f=111

**Jesperw** · 19/05/08 20:09

Ja. Alle door Debian gegenereerde SSL keys zijn lek. Alles overal updaten dus en eventueel SSH keys opnieuw genereren.

Dit is overigens al een week of 2 bekend.

**Jefke** · 19/05/08 20:28

Hier de details samen met wat je er moet aan doen:

http://wiki.debian.org/SSLkeys

**Hosting123** · 19/05/08 20:57

vreemd, ik heb er helemaal niks van mee gekregen

**gjtje** · 19/05/08 21:07

Ze moeten ook met hun vingers van die code afblijven. :P

**Randy** · 19/05/08 21:13

PHP Code:


function generateRandom() {
     return 9;
}

**MikeN** · 19/05/08 22:32

Oorspronkelijk geplaatst door Randy

PHP Code:


function generateRandom() {

     return 9;

}

http://loldebian.files.wordpress.com...randomness.png

**wonko** · 20/05/08 09:03

Het zijn enkel de keys die op een Etch (of hoger)-distributie gegenereerd zijn die zwak zijn. Er zijn tools om je eigen key te controleren; wij hebben er voor onze klanten eentje online gezet op http://www.openminds.be/keyscanner.php wat gebasseerd is op de tool 'dowdk.pl' van debian zelf (die fingerprints van gekende weak keys heeft, en de nieuwe fingerprint checkt).

Dowdk.pl kan je hier vinden: http://wiki.debian.org/SSLkeys#head-...fc616c4f1baf0b

**X-Hosted** · 20/05/08 09:12

Hehe, als ik dat toch zo weer eens lees ben ik blij dat geen 1 bak hier op dat kragge Debian draait

CentOS

Leuke site trouwens die; http://loldebian.wordpress.com/

**wonko** · 20/05/08 09:34

Oorspronkelijk geplaatst door X-Hosted

Hehe, als ik dat toch zo weer eens lees ben ik blij dat geen 1 bak hier op dat kragge Debian draait

En net de manier waarop het gecommuniceerd werd, en hoe snel er oplossingen waren en tools om je te helpen, maakt me blij dat elke bak hier Debian draait.

**Jefke** · 20/05/08 09:51

Oorspronkelijk geplaatst door wonko

En net de manier waarop het gecommuniceerd werd, en hoe snel er oplossingen waren en tools om je te helpen, maakt me blij dat elke bak hier Debian draait.

Same here!

Er is wel een reden waarom veel distro's en appliances firmware op Debian zijn gebaseerd.

**Jesperw** · 20/05/08 10:06

Eensch. Keurig geregeld allemaal.

**Randy** · 20/05/08 11:00

Gewoon je Debian updaten... met Ubuntu. En anders het update.script gebruiken om openSSL en openSSH zelf te compilen naar de laatste versie. Het DA script, werkt hier gewoon ook voor. (let op: update.script, niet custombuild).

**martysmarty** · 20/05/08 11:10

Oorspronkelijk geplaatst door Randy

Gewoon je Debian updaten... met Ubuntu. En anders het update.script gebruiken om openSSL en openSSH zelf te compilen naar de laatste versie. Het DA script, werkt hier gewoon ook voor. (let op: update.script, niet custombuild).

En waarom met Ubuntu?

**Xolphin** · 20/05/08 11:11

Oorspronkelijk geplaatst door Randy

Gewoon je Debian updaten... met Ubuntu.

Ik begrijp je intentie niet helemaal, maar als je denkt dat Ubuntu beter dan Debian is:

http://www.ubuntu.com/usn/usn-612-1

Ubuntu is een Debian kloon...

Daarnaast raad ik iedereen met SSL Certificaten aan om bij zijn/haar provider de certificaten met nieuwe private keys te laten aanmaken. Een dergelijke heruitgifte van het certificaat is in de meeste gevallen gratis.

Onderwerp Gereedschap

Toon

Onderwerp: Critisch lek OpenSSL Debian dist

Critisch lek OpenSSL Debian dist

Webhostingtalk.nl

Link met ons

Partners

Contact