vortal internetowy
aktualnosci
Luka w Debianie poważniejsza niż przypuszczano
20 maja 2008 napisał admin
HD Moore, znany specjalista ds. bezpieczeństwa, ostrzega, że niedawno odkryta dziura w generatorze liczb pseudolosowych systemu Debian jest niezwykle poważna.
Co prawda pojawiła się już odpowiednia poprawka, jednak, jak zauważa HD Moore, prawdziwym wyzwaniem dla administratorów będzie odnalezienie i poprawienie wszystkich kluczy stworzonych za pomocą wadliwego generatora.
Ekspert informuje, że luka umożliwia stosunkowo łatwe odgadywanie kluczy. Jemu samemu udało się w ciągu zaledwie 2 (!) godzin wygenerować 1024- i 2048-bitowe klucze. Zauważa przy tym, że stworzenie dłuższego klucza jest znacznie bardziej pracochłonne. Jego zdaniem prace nad 8192-bitowym RSA trwałyby około 3100 godzin (129 dni). Moore udostępnił narzędzia przydatne do tworzenia kluczy. Podobnie uczynił haker "Markus M.".
Inni specjaliści, tacy jak Bojan Zdrnja z Internet Storm Center czy eksperci zatrudnieni w Symanteku, po opublikowaniu rewelacji HD Moore'a, stwierdzili, że problem jest rzeczywiście niezwykle poważny. Opracowanie automatycznego skryptu, który generuje klucze to zagrożenie dla serwerów SSH na całym świecie - stwierdził Zdrnja. Co gorsza, problem nie ogranicza się tylko do użytkowników Debiana i pochodnych systemów (Ubuntu, Knoppix). Na atak narażone są również te platformy, na które skopiowano dane zabezpieczone kluczami wygenerowanymi przez Debiana.
Trzeba będzie sprawdzić wiele różnych systemów, nie tylko Debiana. Administratorzy muszą przyjrzeć się każdemu kluczowi. Nawet systemy, na których nie jest uruchamiane oprogramowanie dla Debiana powinny być na wszelki wypadek sprawdzone, gdyż mógł zostać w nich użyty klucz wygenerowany pod Debianem - ostrzega Moore. Eksperci mówią, że należy sprawdzić każdy klucz, który powstał pomiędzy wrześniem 2006 a 13 maja bieżącego roku.
Zdaniem Moore'a nie powinniśmy spodziewać się jakiegoś wielkiego, ogólnoświatowego ataku. Cyberprzestępcy skupią się raczej na poszczególnych atrakcyjnych celach.
Źródło: dobreprogramy.pl
powrót do listy newsów
20 maja 2008 napisał admin
HD Moore, znany specjalista ds. bezpieczeństwa, ostrzega, że niedawno odkryta dziura w generatorze liczb pseudolosowych systemu Debian jest niezwykle poważna.
Co prawda pojawiła się już odpowiednia poprawka, jednak, jak zauważa HD Moore, prawdziwym wyzwaniem dla administratorów będzie odnalezienie i poprawienie wszystkich kluczy stworzonych za pomocą wadliwego generatora.
Ekspert informuje, że luka umożliwia stosunkowo łatwe odgadywanie kluczy. Jemu samemu udało się w ciągu zaledwie 2 (!) godzin wygenerować 1024- i 2048-bitowe klucze. Zauważa przy tym, że stworzenie dłuższego klucza jest znacznie bardziej pracochłonne. Jego zdaniem prace nad 8192-bitowym RSA trwałyby około 3100 godzin (129 dni). Moore udostępnił narzędzia przydatne do tworzenia kluczy. Podobnie uczynił haker "Markus M.".
Inni specjaliści, tacy jak Bojan Zdrnja z Internet Storm Center czy eksperci zatrudnieni w Symanteku, po opublikowaniu rewelacji HD Moore'a, stwierdzili, że problem jest rzeczywiście niezwykle poważny. Opracowanie automatycznego skryptu, który generuje klucze to zagrożenie dla serwerów SSH na całym świecie - stwierdził Zdrnja. Co gorsza, problem nie ogranicza się tylko do użytkowników Debiana i pochodnych systemów (Ubuntu, Knoppix). Na atak narażone są również te platformy, na które skopiowano dane zabezpieczone kluczami wygenerowanymi przez Debiana.
Trzeba będzie sprawdzić wiele różnych systemów, nie tylko Debiana. Administratorzy muszą przyjrzeć się każdemu kluczowi. Nawet systemy, na których nie jest uruchamiane oprogramowanie dla Debiana powinny być na wszelki wypadek sprawdzone, gdyż mógł zostać w nich użyty klucz wygenerowany pod Debianem - ostrzega Moore. Eksperci mówią, że należy sprawdzić każdy klucz, który powstał pomiędzy wrześniem 2006 a 13 maja bieżącego roku.
Zdaniem Moore'a nie powinniśmy spodziewać się jakiegoś wielkiego, ogólnoświatowego ataku. Cyberprzestępcy skupią się raczej na poszczególnych atrakcyjnych celach.
Źródło: dobreprogramy.pl
powrót do listy newsów
Linux+
Cena: 24.90 zł
Dodaj do koszyka