Newsgroup: it.comp.os.linux.debian
Titolo: grave bug in in openssl

http://lists.debian.org/debian-security-announce/2008/msg00152.html
Buon pomeriggio
-- 
Norbert il COBOLdo (
www.mandos.it
) - Registered Linux user #464864 
E anche adesso una parte di me
sorvola Dresda a quota 1 5 
(Pink Floyd)

 
*buntu ha in distribuzione l'aggiornamento.

 *buntu ha in distribuzione l'aggiornamento.
Anche la mia Debian ha ricevuto l'aggiornamento il giorno stesso della 
pubblicazione dell'avviso :)
Ciao.

, 
nessuni...@nessunindirizzo.net
 says...

Ah si ... signora efficenza: oplalà casca giù il pacchettino nuovo. 
Venghino signori prossimo numero nuovo animale.
Cosa c'è di poco chiaro in "It is strongly recommended that all 
cryptographic key material which has been generated by OpenSSL versions 
starting with 0.9.8c-1 on Debian systems is recreated from scratch.  
Furthermore, all DSA keys ever used on affected Debian systems for 
signing or authentication purposes should e considered compromised; the 
Digital Signature Algorithm relies on a ecret random value used during 
signature generation."
e nel sapere che chiunque dialogasse in modalità protetta con un server 
debian era a culo aperto da un anno e  mezzo (2006-09-17) ?

 
http://lists.debian.org/debian-security-announce/2008/msg00152.html
suggerisco l'uso di ssh-copy-id, qualora necessario
Bye


 debian era a culo aperto da un anno e  mezzo (2006-09-17) ?
Se tu lo sapevi, perchè non lo hai detto prima?
Questa tua saccenza non la comprendo, scusami.
Hanno fatto una cazzata in Debian, oltre che una figuraccia, ma lo scopo 
era valido (hai presente Valgrind?).
Perfino la (giustamente) blasonata OpenBSD ha inciampato sull'ipv6...
E poi, soprattutto!, il codice è sempre stato pubblico, perchè te ne 
esci con queste sparate da superiore solo adesso che è uscito l'avviso?
Tanti saluti.

 esci con queste sparate da superiore solo adesso che è uscito l'avviso?
Questo scusa ma non ha senso. Mica perchè un software è aperto deve 
esser pasticciato col culo solo per eiacularlo dentro a un deb. 
L'aggravante è che il software non aveva problemi, l'han pasticciato 
altri. I debianici han questo gran brutto viziaccio.  E se non era per 
quell'anima onesta del debugger anni passavano ancora. Hai presente che 
significa metter le zampette su un pacchetto di crittografia avanzata: 
sarà anche aperto ma pochi su milioni di utenti han le capacità di 
spippolarlo. Ma venendo al punto: sei sicuro che altri con ben peggiori 
intenzioni dello scopritore ufficiale non l'avessero già individuato e 
sfruttato per finalità criminose? Quelli mica ti fanno il report e la 
segnalazione di bug ? Che ci sarebbe da star allegri e spalmare 
faccette di grazia ?

 faccette di grazia ?
Bene, posso cercare comprendere il significato della tua risposta che ha 
una certa sua logica.
La parte soprariportata, però, lasciamelo dire, è di una gran banalità: 
si chiamano vulnerabilità 0-day e niente e nessuno ad oggi ne è immune.
A questo proposito ti chiedo, se ne hai piacere, di commentare quanto da 
te espresso su OpenBSD, mi sembra interessante il confronto con chi la 
pensa in maniera differente.
Ciao.

 pensa in maniera differente.
In primis hai confuso una bug gravissimo come questo con la 
vulnerabilità a un DoS riferendoti a ipv6. Sono gravità inconfrontabili 
anche perchè l'una ben visibile e grossolana negli effetti l'altra 
assai più subdola.
E comunque è vero che anche OpenBsd ha avuta la sua soria con openssh 
(ChallengeResponseAuthentication); la differenza è che chi la sviluppa 
ne è il capoprogetto: errare è umano; non è stata certo superficialità 
ne raffazonamento.
Nel merito il personaggio ha il caratterino che tutti sanno: ma se 
dalla sicurezza di un sistema operativo dipendesse non l'integrità 
inforatica di un sistema, ma la tua stessa vita, e tu potessi scegliere 
fra le due, secondo me non avresti tutti questi gran dubbi su cosa 
installare fra openbsd e debian. Poi se parliamo di altre feature come 
usabilità, compatibilità ... magari è altro paio di maniche.

 usabilità, compatibilità ... magari è altro paio di maniche.
La mia posizione è che sono infastidito da questo grave buco ma in 
qualche modo comprendo lo spirito di chi ha commesso la fesseria (voglio 
ritenere che se ne sia reso conto anche lui); ritengo inoltre che vi sia 
un inevitabile compromesso nei sistemi operativi odierni tra 
funzionalità e sicurezza/compatibilità, basta osservare come sfumano 
dall'una all'altra queste due caratteristiche passando appunto da 
OpenBSD a FreeBSD a Debian e infine a Ubuntu (non cito Windows).
Ti ringrazio per il tuo punto di vista.
Ciao.

 funzionalità e sicurezza/compatibilità, 
sicurezza e funzionalità/compatibilità

 Buon pomeriggio
Mettendo a posto OpenSSL ne hanno scoprti altri: 
http://xkcd.com/424/
:)
Ciao Jack

 Buon pomeriggio
Buon pomeriggio un corno, dal 2006 abbiamo rilasciato circa 600
certificati a clienti per l'accesso VPN e ora dovremmo rigenerarli
tutti? La nuova versione di openvpn non permette l'accesso con chiavi
considerate vulnerabili... Il casino che sta per scoppiare è di
dimensioni inimagginabili :(





 Buon pomeriggio un corno, dal 2006 abbiamo rilasciato circa 600
Se i certificati sono come i tuoi post si riducono a 200 :-)
Ciao, Micky
-- 
What's this hash prompt on my terminal mean?
Micky Del Favero  -  System Manager  &  BOFH

 Se i certificati sono come i tuoi post si riducono a 200 :-)
SI', ma glieli deve mandare tre volte. :-P
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 dimensioni inimagginabili :(
Sticazzi... Non ti invidio affatto... Io devo *solo* rigenerare le chiavi
ssh di alcune decine di server (tra l'altro su alcune c'è ancora sarge,
come ci si comporta ?) e ripulire i known_hosts di non so quanto client e
la cosa mi pare un'impresa titanica... Non so come mi sentirei nei tuoi
panni...
Pessimismo & Fastidio
-- 
                          | fortune elettromagnetiche
\|/ ____ \|/   \ ||_|     | venivano dissipate in un
"@'/ ,. \`@"    \|| |     | attimo, sorgevano imperi
/_| \__/ |_\ Vax Headroom | d'elio e svanivano
   \__U_/                 | 

 come ci si comporta ?)
Quelle generate prima di novembre 2006 e sulle distro precedenti etch non
hanno problemi. In ogni caso le chiavi dell'host le rigenera in automatico
il pacchetto aggiornato, e le chiavi vulnerabili le trovi con ssh-vulnkey.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 SI', ma glieli deve mandare tre volte. :-P
Gią scusatemi ma ho avuto problemi con 
nntp.aioe.org
 e pensavo i primi
due non li avesse inviati (in effetti sono comparsi due giorni dopo!).