Newsgroup: it.comp.os.linux.sys
Titolo: [OT] Notizia di PI

http://punto-informatico.it/2387656/PI/News/ssh-violato-linux-sotto-scacco.aspx
Inutilmente allarmista o c'e' qualcosa di fondato secondo voi ?
Rizio

Il giorno ven, 29/08/2008 alle 08.50 +0000, Davide Bianchi ha scritto:
[zap]
Io ho un dubbio: è colpa della famosa caxxata fatta da chi ha
precompilato ssh su debian (che ha zappato qualcosa nel sorgente) oppure
si tratta di qualcosa di diverso? Perché in produzione ho qualche server
con SUSE sopra non vorrei che fosse a rischio anche quello...
Enrico

 con SUSE sopra non vorrei che fosse a rischio anche quello...
Io non capisco perché generalmente si afferma che il disastro di 
OpenSSL abbia investito solo Debian e derivati. E' vero che la cazzata 
(senza scusanti) è stata fatta da Debian, ma dove c'è scritto che le 
chiavi generate sotto Debian sono rimaste circoscritte a quella 
distribuzione?
Questo attacco non "cracca" ssh, non "cracca" ssl, usa credenziali di 
accesso (sotto forma di chiave ssh) di per sé assolutamente legittime 
(ancorché "rubate") per accedere ad una macchina. Una volta che si 
installa in detta macchina, raccoglie le chiavi ssh in essa presenti e 
da lì cerca di accedere ad altre macchine.
Il paziente 0 forse era una macchina affetta dalla cazzata di Debian, 
ma ormai non ha più senso parlare di vulnerabilità della macchina, 
quanto di avvenuta compromissione di chiavi ssh.
Piuttosto qualcuno sa come fa quel coso a ottenere i privilegi di root?

 
La serie di caxxate scritte in quell'articolo termina con questa
affermazione, degna di sysadmin ms che abbia installato almeno una volta
ubuntu, considerandosi quindi un vero sysadmin:
"Pochi e semplici, secondo le indicazioni fornite dagli esperti
statunitensi, i passaggi necessari a verificare l'eventuale infezione del
proprio sistema. Un semplice ls non sarebbe in grado di rivelare la
directory nascosta /etc/khubd.p2/, accessibile in ogni caso con il comando
cd. Altri metodi per individuare l'infezione sono la ricerca di eventuali
processi nascosti in esecuzione, oppure la verifica a mano del contenuto
della directory /etc rispetto a quanto restituito da ls in una console."
Vorrei sapere come farebbe la "verifica a mano del contenuto della
directory /etc rispetto a quanto restituito da ls in una console", dato
che " Un semplice ls non sarebbe in grado di rivelare la directory
nascosta /etc/khubd.p2/".
Ma soprattutto vorrei sapere chi autorizza gli articoli di PI!!!
-- 
g4b0, linux user n. 369000
http://gabo.homelinux.com

 distribuzione?
Ok, quindi visto che il server in questione è SUSE e l'autenticazione
viene fatta solo per nome utente e password (niente autenticazione con
chiavi) e che non è una CA, ergo i certificati ssh dovrebbe averli solo
la macchina, mi devo preoccupare?
Enrico

 Ma soprattutto vorrei sapere chi autorizza gli articoli di PI!!!
Hai ragione quell'articolo è scritto col culo. Omette di dire che il 
rootkit sostituisce il binario di ls in modo che non visualizzi quella 
dir. PI fa pena.

 Inutilmente allarmista o c'e' qualcosa di fondato secondo voi ?
Se mi fregano le chiavi di casa, la prima cosa che faccio è cambiare la
serratura e quindi avrò nuove chiavi.
Se non lo faccio e mi entrano in casa fregandomi anche le chiavi del box,
non me la posso prendere con chi ha fabbricato la serratura della porta di
casa.
-- 
Website:   
http://www.albireosrl.net
eBay Shop: 
http://stores.ebay.it/Albireo-Store