[es] - Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive random kljuceve

CONFIQ
♫♪♥♪♫

Član broj: 4218
Poruke: 1992
*.red.bezeqint.net.

ICQ: 82327428

Profil

Re: Sigurni Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:08}

1) Taj bug nije linux-wide nego je specifican za jednu platformu, debian i njenu decu (ubuntu)
1.a) Vecina linux guru-a ne voli debian kao server zato sto nije prvi put da se ovako desi
2) Bug je star od dana: 2006-09-17 ali tek pre 3 dana je odkriveno. Obicno veliki hackovi dolaze tek kad je rupa nadjena a ne pre nego sto je nadjena
3) Ceo SSH je mnogo komplikovan tako reci da je ovo kritican bug je znak pitanja.. Zameniti kljuc nije tolika glavobolja i niko ne moze da hackuje sve dok ti ne udjes sa starim kljucem koji nisi update-ovao....

Znaci bug je efektivan samo kad hacker moze da "slusa" sta pricas na mrezi (znaci phisical access) i samo kad se logujes kljucem koji si "zaboravio" da update-ujes, acker moze da udje na tvoj server ali nece znati sifru. I to je znak pitanja zato sto obicno imas i trusted hosts kad stavljas public key na server...

Tako da ne kontam zasto tolika galama i toliko duvanje fedore :)
I jos Top? Nije cudno zasto nema linux fanatika na ovom forumu vise...

^{16.05.2008. u 21:08}

Ivan Dimkovic
Ivan Dimkovic
Vice President - Product and Business
Development, Cinemo GmbH
EU

Administrator
Član broj: 13
Poruke: 13836
..adsl-static.isp.belgacom.be.

Sajt: www.linkedin.com/in/ivand..

Profil

Re: Sigurni Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:10}

Win Server obicno nema obicaj da generise nesigurne kljuceve - bio je jedan teorijski napad pre nekoliko godina koji je bio patchovan brzo i nigde nije bio prakticno demonstriran osim u tom naucnom radu - sa druge strane, u Debianu visi rupa godinu ipo dana i sada imamo i "do it yourself" tool za male haxore, koji razbija debian kljuceve... lepo ;-)

Mislim, jasno je meni da je tebi neki BSOD sa azijskim drajverom za zvucnu ili, u tvom slucaju, crackovanom Vistom, isto sto i nesigurni SSL layer - ali mislim da i ti znas da nekom ko enkripciju i potpisivanje koristi za novac ili vredne dokumente ovo malo... khm... ozbiljnije ;-)

No znam da ces da nastavis da trolujes, posto ovde nema sta vise da se doda, a da ima smisla...

Citat:

CONFIQ
2) Bug je star od dana: 2006-09-17 ali tek pre 3 dana je odkriveno. Obicno veliki hackovi dolaze tek kad je rupa nadjena a ne pre nego sto je nadjena
3) Ceo SSH je mnogo komplikovan tako reci da je ovo kritican bug je znak pitanja.. Zameniti kljuc nije tolika glavobolja i niko ne moze da hackuje sve dok ti ne udjes sa starim kljucem koji nisi update-ovao....

?????? udjes? Gde bre udjes? Kljucevi se koriste za kriptovanje i potpisivanje informacije, a ona ne "ulazi" vec se razmenjuje, skladisti.

Neki klinac falsifikuje digitalni potpis / sertifikat nekog nesrecnika, i recimo autorizuje skidanje love, posalje dokumente koji ga imitiraju itd...

Osim toga, sta ako je ovaj "bug" stavljen namerno? Odakle vi znate ko je taj lik sto je to "patchovao" - sta ako je to uradjeno zbog neke diverzije? Meni ovo ne uliva ni najmanje poverenja u taj sistem.

SpikeFun - Cortical Neural Network Simulator:
http://www.dimkovic.com/node/1
Demo Video: http://www.youtube.com/watch?v=CQXxzQDjXNc&hd=1

^{16.05.2008. u 21:10}

Re: Sigurni Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:18}

U svakom slucaju, CONFIQ, ovo je veliki problem, i sa tim se slazu i malo zvucnija imena u sigurnosnoj industriji... Imati kljuceve koji su kriptografski nesigurni znaci da neko potencijalno moze da ih razbije i da uradi nesto od sledeceg:

- Falsifikuje tudj digitalni potpis
- Dekriptuje informacije koje su vec negde smestene, snifovane, razmenjene - to ne mozes da "vratis", jer one nisu kod tebe

Ono sto je jos gore, je sto su napravili i "ready-made" tool-ove da svako moze da se igra sa tim... Nije to za zajebavanje, CONFIQ, jer postoji mogucnost pogadjanja parametara koji su bili inputi za generisanje kljuca - a to znaci da neko moze da razbije kljuc i bez tvog kompa... Sta ces onda sa vec poslatim informacijama koje nisu u tvojoj kontroli?

U principu, kompromitacija je prilicno velika, i prava je sreca da Debian nije bas koriscen na serverima, ako je tacno sto ti kazes...

Mislim da bi Debian tim morao debelo da proceslja "svoje redove" i da uvedu auditing za commitovanje koda koji je kritican za sigurnost sistema... Meni i dalje nije jasno kako je moguce da neko ovako nesto commituje i da se to ne primeti ranije, posto je RNG jedna od kljucnih komponenti kriptografskog sistema.

SpikeFun - Cortical Neural Network Simulator:
http://www.dimkovic.com/node/1
Demo Video: http://www.youtube.com/watch?v=CQXxzQDjXNc&hd=1

^{16.05.2008. u 21:18}

Re: Sigurni Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:22}

Obrisao sam off-topic poruke, Xtraya-o, ako hoces da ucestvujes u diskusiji - drzi se teme. NT, BSOD & co nisu deo ove price, tema je SSL u Debian Linuxu.

SpikeFun - Cortical Neural Network Simulator:
http://www.dimkovic.com/node/1
Demo Video: http://www.youtube.com/watch?v=CQXxzQDjXNc&hd=1

^{16.05.2008. u 21:22}

xtraya
Vladanko Vladanovic
Belgrado

Član broj: 323
Poruke: 983
85.222.163.*

ICQ: 6072593

Profil

Re: Sigurni Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:23}

zasto ovde pricas prikrivenu neistinu da je "LINUX" ssl busan, a znas to NIJE tacno jer je DEBIAN busan?

Hmmm , na VIP-u 3G preko iphone-a 2,6 Mbps DL i 1,4 UP ...

^{16.05.2008. u 21:23}

Re: Sigurni Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:25}

Debian je Linux? Mislim da naslov nije pogresan.

Ali izmenicu ga, da se druge Linux denominacije ne strecaju.

SpikeFun - Cortical Neural Network Simulator:
http://www.dimkovic.com/node/1
Demo Video: http://www.youtube.com/watch?v=CQXxzQDjXNc&hd=1

^{16.05.2008. u 21:25}

Mitrović Srđan
bloodzero
Majur //: Šabac

Član broj: 10261
Poruke: 2796
212.62.47.*

Sajt: freeshell-reviews.com

Profil

Re: Sigurni Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:25}

Ma sitnica :)
Zanimljivo mi je to cim se pojavi neki ozbiljan problem u nekoj distribuciji linuxa
ostatak linuxa ganga odmah "dize ruke" od istog u fazonu ma gde taj distro
to se ne koristi za servere itd itd. Zaista mi je taj argument jako simpatican.
Samozavaravanje je cudna stvar :)

Citat:

Upgrade OpenSSL and re-generate all your SSH and SSL keys

Mogu da zamislim koliko posla ovo zahteva od administratora koji
adminuje nekim vecim mrezama koji ima dosta podataka grrr.
Sigurno xtrayu ovo ne pogadja.

Mozda famozni programer radi za Microsoft pa je namerno uklonio seeding :)

http://metasploit.com/users/hdm/tools/debian-openssl/

Tony Melendez:
http://video.google.com/videoplay?docid=-
3819862628517136815&q=tony+melendez

NIKADA NE UZIMATI HOSTING NA GO DADDY!

^{16.05.2008. u 21:25}

xtraya
Vladanko Vladanovic
Belgrado

Član broj: 323
Poruke: 983
85.222.163.*

ICQ: 6072593

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:28}

Citat:

Sigurno xtrayu ovo ne pogadja.

ma jok, slackware/centos radi posao. ne brinem se uopste...
posle ako se smorim, updejtovacu ubuntu na drugom disku...

nista frka nista stress

Hmmm , na VIP-u 3G preko iphone-a 2,6 Mbps DL i 1,4 UP ...

^{16.05.2008. u 21:28}

icobh
Igor Pejašinović
Benelux & Balcans Co.
Stara Dubrava, RS, BiH

Član broj: 18738
Poruke: 1317
*.inecco.net.

Sajt: localhost

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:28}

fmppffmmmpmfpmmppf

I ♥ ♀

Ovaj post je zlata vrijedan!

^{16.05.2008. u 21:28}

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:28}

Ali nije samo fora u regenerisanu kljuceva..

Da li si siguran da tvoj saobracaj nije ranije slusan, ili informacije koje su SSL-om razmenjivane nisu negde skladistene - ako je to slucaj, onda opet imas problem jer neko moze da provali stari kljuc i pristupi tim informacijama...

O sertifikatima da ne pricamo - znate li vi ljudi koliko kosta revociranje sertifikata, posto sad neko potencijalno moze da vas impersonira? A zamislite nesrecnike koji su koristili Debian i nude komercijalne usluge kreiranja sertifikata - mislim da ce imati puno posla i dosta poslovnih gubitaka :)

Mislim, zbog toga je ovo prilicno scary...

A to downplay-ovanje problema, price kako bas ta distribucija nije nesto posebno su cudo... Mislim mogu da se zakunem da sam vise puta cuo kako je Debian "the" distro, ali dobro - nema veze... Ako je istina da nije popularan na serverima, utoliko bolje.

Citat:

All SSL and SSH keys generated on Debian-based systems (Ubuntu, Kubuntu, etc) between September 2006 and May 13th, 2008 may be affected. In the case of SSL keys, all generated certificates will be need to recreated and sent off to the Certificate Authority to sign. Any Certificate Authority keys generated on a Debian-based system will need be regenerated and revoked. All system administrators that allow users to access their servers with SSH and public key authentication need to audit those keys to see if any of them were created on a vulnerabile system. Any tools that relied on OpenSSL's PRNG to secure the data they transferred may be vulnerable to an offline attack. Any SSH server that uses a host key generated by a flawed system is subject to traffic decryption and a man-in-the-middle attack would be invisible to the users. This flaw is ugly because even systems that do not use the Debian software need to be audited in case any key is being used that was created on a Debian system. The Debian and Ubuntu projects have released a set of tools for identifying vulnerable keys. You can find these listed in the references section below.

Da li vi ljudi uopste razmisljate o tome koliko ce ovo da kosta? :)

SpikeFun - Cortical Neural Network Simulator:
http://www.dimkovic.com/node/1
Demo Video: http://www.youtube.com/watch?v=CQXxzQDjXNc&hd=1

^{16.05.2008. u 21:28}

xtraya
Vladanko Vladanovic
Belgrado

Član broj: 323
Poruke: 983
85.222.163.*

ICQ: 6072593

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:33}

Citat:

Da li si siguran da tvoj saobracaj nije ranije slusan, ili informacije koje su SSL-om razmenjivane nisu negde skladistene - ako je to slucaj, onda opet imas problem jer neko moze da provali stari kljuc i pristupi tim informacijama...

cinjenica je da neko u server room u USA/UK moze da se okaci o switch,i uz malo truda krene da slusa... ali opet, ssh mi nije nikada na 22 portu, a ovaj jedan bitan server ima VPN za prilaz, tako da SSH nece da radi na public interfejsu, nego samo na VPN interfejsu . no, najbitnije je da NIJE DEBIAN...

sad bez zezanja:

neozbiljno je sto populisticki nastupas. niko normalan ne bi stavljao debian za server, kada ga samo CENTOS bukvalno shamara, a ne zaboravi da postoje i slackware,RH enterprise kao i SUSE koji su vise nego dobri.

Hmmm , na VIP-u 3G preko iphone-a 2,6 Mbps DL i 1,4 UP ...

^{16.05.2008. u 21:33}

icobh
Igor Pejašinović
Benelux & Balcans Co.
Stara Dubrava, RS, BiH

Član broj: 18738
Poruke: 1317
*.inecco.net.

Sajt: localhost

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:35}

Sad će pojedini (tralja i slični) još da kažu da Debian (i njegove forkove) niko živ od Linuxovaca ne koristi, tako da i nije neki problem ova crna rupa...

P.S. Zar to nije onaj Debian što uništava HDD-ove, ili sam ja pobrkao nešto?!

P.S.S. Šta će da košta? Pa zar nije Linux besplatan?

I ♥ ♀

Ovaj post je zlata vrijedan!

^{16.05.2008. u 21:35}

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:35}

A sertifikat, Xtraya-o? :)

Sta ako ti neko razbije sertifikat i krene da potpisuje dokumente/ordere/... sa tvojim autoritetom?

Jel i za to imas neko magicno resenje? :) Ovi gore kazu da je jedino resenje revokacija sertifikata + izdavanje novog... A, znas, to kosta a i dok se ne odradi mozes samo da grizes nokte da neko ne iskoristi ovaj propust ;-)

Citat:

neozbiljno je sto populisticki nastupas. niko normalan ne bi stavljao debian za server, kada ga samo CENTOS bukvalno shamara, a ne zaboravi da postoje i slackware,RH enterprise kao i SUSE koji su vise nego dobri.

Bas niko - znaci market share debian + ubuntu masina je zanemarljiv na server-side? Meni se pre cini da bi odgovor bio isti da je u pitanju bilo koji drugi distro - da je SuSE kompromitovan, sada bi slusali kako "niko normalan ne stavlja SuSE na server"

SpikeFun - Cortical Neural Network Simulator:
http://www.dimkovic.com/node/1
Demo Video: http://www.youtube.com/watch?v=CQXxzQDjXNc&hd=1

^{16.05.2008. u 21:35}

Časlav Ilić
Braunšvajg, Nemačka

Član broj: 4945
Poruke: 541
*.pool.mediaWays.net.

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:36}

Citat:

japan: [...] ako uzmes u obzir ovo:

Moram da upozorim da se sve „činjenice“ iznesene u ovoj temi o tome kako je došlo do problema, činjenicama mogu nazvati samo pod navodnicima. Niko tu nije napravio očiglednu grešku, i neverovatno je kroz koliko ešalona odbrane je problem prošao. To je uvid koji se lako stekne samo ako se isprate veze od prvobitne i narednih vesti na Slešu ovih dana.

Citat:

Ivan Dimkovic: Ovaj bug je katastrofa - godinu ipo dana kriptovanog i potpisanog sadrzaja na Debian Linuxima je kriptografski nesigurno [...] Kljucevi se koriste za kriptovanje i potpisivanje informacije, a ona ne "ulazi" vec se razmenjuje, skladisti.

Da je katastrofa već rekoh da jeste, ali ovde ćeš malo da popričekaš. Ugrožene ključeve uglavnom koriste programi za komunikaciju, odnosno za identifikaciju mašina i šifrovanje protoka na vezi (i onda slede Konfikovi primeri). Za šifrovanje i potpisivanje trajnog sadržaja koristi se GnuPG i ključevi koje on stvara, a koji nisu ovim ni najmanje ugroženi.

E, da je GnuPG bio taj koji je pogođen (što sam se trenutku odsekao), onda...

^{16.05.2008. u 21:36}

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:39}

A sta se koristi za generisanje SSL sertifikata?

http://slacksite.com/apache/certificate.php

:)

SpikeFun - Cortical Neural Network Simulator:
http://www.dimkovic.com/node/1
Demo Video: http://www.youtube.com/watch?v=CQXxzQDjXNc&hd=1

^{16.05.2008. u 21:39}

xtraya
Vladanko Vladanovic
Belgrado

Član broj: 323
Poruke: 983
85.222.163.*

ICQ: 6072593

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:41}

Citat:

P.S. Zar to nije onaj Debian što uništava HDD-ove, ili sam ja pobrkao nešto?!

mandrake, unistavao je CDROM-ove jer LG nije implementirao neku komandu (ako se dobro secam)

Citat:

da se ovo desilo za Centos ili Slackware, to bi bilo pravo "kompromitovanje". Deb je zaista malo koriscen kao server

Citat:

A sta se koristi za generisanje SSL sertifikata?

to ja iz konzole odradim, pa napravim recimo direktan shell pristup nekoj drugoj masini, ako zelim da mi jedan CRON sinhronizuje neke operacije na 2-3 linuxa i da imam kaskadnu seriju komandi prema raznim serverima.

Hmmm , na VIP-u 3G preko iphone-a 2,6 Mbps DL i 1,4 UP ...

^{16.05.2008. u 21:41}

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:43}

To je onda jako dobra stvar... Ako Debian i njegovi forkovi nisu puno zastupljeni...

Iliti sreca u nesreci ;-)

Citat:

i neverovatno je kroz koliko ešalona odbrane je problem prošao. To je uvid koji se lako stekne samo ako se isprate veze od prvobitne i narednih vesti na Slešu ovih dana.

E pa to je ono sto ja bas i nisam siguran... Da li su ti 'esaloni odbrane' zaista tako dobro koncipirani ...

SpikeFun - Cortical Neural Network Simulator:
http://www.dimkovic.com/node/1
Demo Video: http://www.youtube.com/watch?v=CQXxzQDjXNc&hd=1

^{16.05.2008. u 21:43}

Mitrović Srđan
bloodzero
Majur //: Šabac

Član broj: 10261
Poruke: 2796
212.62.47.*

Sajt: freeshell-reviews.com

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:46}

Jel ovo neka zajebancija :)
Otkad se to Debian slabo koristi kao server?

Citat:

da se ovo desilo za Centos ili Slackware

CentOS je zaista odlicno zamisljen Server distro ali slackware?
Pa ko jos zeli tako nesto za server ne razumem. Sem nekog unix geeka
koji ima svo vreme ovog sveta na kompajliranje svakog zivog paketa i
drkanje oko dep hell-a. Neki prosto vole da sebi otezavaju posao.
U wispu gde adminujem remote sam digao 90% srv na debianu
tako da me direktno pogadja ovaj vuln. Ne zelim da zamisljam moguce
scenarije :)

Daa LG je kriv :)

Tony Melendez:
http://video.google.com/videoplay?docid=-
3819862628517136815&q=tony+melendez

NIKADA NE UZIMATI HOSTING NA GO DADDY!

^{16.05.2008. u 21:46}

xtraya
Vladanko Vladanovic
Belgrado

Član broj: 323
Poruke: 983
85.222.163.*

ICQ: 6072593

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:46}

Citat:

To je onda jako dobra stvar... Ako Debian i njegovi forkovi nisu puno zastupljeni...

samo pogledaj koliko ozbiljnih svetskih host-era daje Deb u svojoj ponudi. i samo se zapitaj zasto je Centos gotovo 100% zastupljen u ponudi za dedicated serv.

Hmmm , na VIP-u 3G preko iphone-a 2,6 Mbps DL i 1,4 UP ...

^{16.05.2008. u 21:46}

icobh
Igor Pejašinović
Benelux & Balcans Co.
Stara Dubrava, RS, BiH

Član broj: 18738
Poruke: 1317
*.inecco.net.

Sajt: localhost

Profil

Re: Sigurni (Debian & Co) Linux - Ovog puta generise predvidljive "random" kljuceve

^{16.05.2008. u 21:47}

Citat:

xtraya: mandrake, unistavao je CDROM-ove jer LG nije implementirao neku komandu (ako se dobro secam)

Ma znam da se Debian negdje spominjao, samo sam ga malo pobrkao sa pokemonom ali isto važi i za isti...
http://www.elitesecurity.org/t...-potencijalno-unistava-vas-HDD

I ♥ ♀

Ovaj post je zlata vrijedan!

^{16.05.2008. u 21:47}