Forum d'entraide PHPFrance

Attention à ceux qui utilisent un server debian etch ou plus récent. Un contributeur maladroit a supprimé le générateur aléatoire qui permettait de construire des clés ssh/ssl fiables.

A faire d'urgence car des script-kiddies s'amusent déjà avec des clés vulnérables:

• Lire ceci: http://lists.debian.org/debian-security ... 00152.html et le suivant: http://lists.debian.org/debian-security ... 00153.html
  En gros on corrige la faille dans la librairie openssh/ssl et on installe un système de blacklist pour les clés compromises.
  
  Plus simplement, vérifiez que vous avez bien cette source dans vos dépôts (sources.list)

  Code : Tout sélectionner

  deb http://security.debian.org/ stable/updates main
  Faites un classique

  Code : Tout sélectionner

  # aptitude update # aptitude upgrade
  et ça devrait rouler.
• Testez vos clés avec le script perl suivant:
  http://security.debian.org/project/extr ... owkd.pl.gz
  et faites:

  Code : Tout sélectionner

  $ perl dowkd.pl user <votreUser> $ perl dowkd.pl host <votrehostName>
• Si vos clés sont faibles, supprimez *toutes* les clés du ~/.ssh/autorized_keys sur votre serveur et, sur vos machine clientes, reconstruisez vos cles privées/publiques selon la méthode classique (ssh-keygen puis ajouter la clé publique dans l'autorized_keys du serveur).

Le problème touche également les certificats SSL que vous avez produit vous-même ainsi que les clés VPN.

Pas une bonne nouvelle. Je viens de m'y coller et il m'a fallu une bonne heure et demie pour mettre à jour 5 serveurs et clients. Par contre, la bonne nouvelle est qu'on a détecté cette faille et que le correctif n'a pas traîné.

J'ai oublié de préciser que lors de la mise à niveau d'openssh et openssl, apt va installer une blacklist des clés faibles utilisées par les kiddies (man ssh-vulnkey pour plus de détails). Si vous ne parvenez plus à vous connecter automatiquement avec vos clés, ne cherchez pas plus loin. Elles sont blacklistées. Pas de panique. L'échange automatique de clés sera impossible mais le login ssh restera (heureusement) possible mais avec mot de passe. Le temps de reconstruire votre porte-clés.

Hey ,

Merci Ripat pour ces conseils, mais ils sont valides également pour toutes distributions reposant sur Debian. Cela inclue bien sûr Ubuntu (pour la plus connue), mais si vous avez une distribution se trouvant dans cette liste, effectuez les mêmes opérations (à quelque chose près, toujours vérifier sur le site de votre distribution).