[devel] SSH key renewal (DSA to ED25519)

[devel] SSH key renewal (DSA to ED25519)

[Andrey Bergman]

Други,

пожалуйста гляньте на https://bugzilla.altlinux.org/50619

Я дождался того, что отключили gyle из-за протухшего
DSA, залил новый ключ ED25519 в приватный репозиторий,
создал заявку. И вот теперь надо залить пару пакетов,
в частности обновить include-what-you-use, который
компилируется с предупреждениями, и вообще кандидат
на удаление, а не могу.

Огромное спасибо тому человеку(ам), которые решили
рубить хвост коту по частям, отключив DSA на gyle,
а потом на gitery. Исключительная мудрость в этом
решении!

Заранее спасибо,
   Андрей.

Re: [devel] SSH key renewal (DSA to ED25519)

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 1627 bytes --]

On Sat, 15 Jun 2024 11:53:09 -0400 Andrey Bergman wrote:
> Други,
> 
> пожалуйста гляньте на https://bugzilla.altlinux.org/50619
> 
> Я дождался того, что отключили gyle из-за протухшего
> DSA, залил новый ключ ED25519 в приватный репозиторий,
> создал заявку. И вот теперь надо залить пару пакетов,
> в частности обновить include-what-you-use, который
> компилируется с предупреждениями, и вообще кандидат
> на удаление, а не могу.
> 
> Огромное спасибо тому человеку(ам), которые решили
> рубить хвост коту по частям, отключив DSA на gyle,
> а потом на gitery. Исключительная мудрость в этом
> решении!

1) Об отключении DSA несколько раз предупреждали на devel, первый
раз в январе этого года. Было много времени для обновления.

2) Удаление поддержки DSA из ssh уже в процессе, с января 2025 его
там совсем не будет.

3) Это сильно устаревший и уязвимый алгоритм. Продолжение его
использования поставило бы под серьёзную угрозу безопасность
сборочницы.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] SSH key renewal (DSA to ED25519)

[Andrey Bergman]

On Sat, Jun 15, 2024 at 10:06:19PM GMT, Andrey Savchenko wrote:
> 1) Об отключении DSA несколько раз предупреждали на devel, первый
> раз в январе этого года. Было много времени для обновления.

Да. Но вот я пропустил и обновляю только сейчас. Да и кроме того,
процедура совершенно одинакова для тех, кто успел, и кто опоздал.
 
> 2) Удаление поддержки DSA из ssh уже в процессе, с января 2025 его
> там совсем не будет.
 
Спасибо, я знаю. В инструкциях по изменению ключей есть соответствующие
ссылки.

> 3) Это сильно устаревший и уязвимый алгоритм. Продолжение его
> использования поставило бы под серьёзную угрозу безопасность
> сборочницы.

Безусловно. 

Мне кажется, что вы в моих словах, Андрей, искали какой-то подвох.
Но я написал всё абсолютно прямо, без малейших экивоков. И
если бы ключи на gitery и gyle отрубились одновременно, я бы
попал в значительно более безвыходное положение, чем сейчас.

Вы не знаете, может быть мне надо напрямую Глебу написать? Я
до сих пор не могу ничего сделать, увы - ключи ещё не обновлены.
Может быть все в отпусках?

Заранее спасибо,
	Андрей.

Re: [devel] SSH key renewal (DSA to ED25519)

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 2140 bytes --]

On Mon, 17 Jun 2024 18:04:05 -0400 Andrey Bergman wrote:
> On Sat, Jun 15, 2024 at 10:06:19PM GMT, Andrey Savchenko wrote:
> > 1) Об отключении DSA несколько раз предупреждали на devel, первый
> > раз в январе этого года. Было много времени для обновления.
> 
> Да. Но вот я пропустил и обновляю только сейчас. Да и кроме того,
> процедура совершенно одинакова для тех, кто успел, и кто опоздал.
>  
> > 2) Удаление поддержки DSA из ssh уже в процессе, с января 2025 его
> > там совсем не будет.
>  
> Спасибо, я знаю. В инструкциях по изменению ключей есть соответствующие
> ссылки.
> 
> > 3) Это сильно устаревший и уязвимый алгоритм. Продолжение его
> > использования поставило бы под серьёзную угрозу безопасность
> > сборочницы.
> 
> Безусловно. 
> 
> Мне кажется, что вы в моих словах, Андрей, искали какой-то подвох.
> Но я написал всё абсолютно прямо, без малейших экивоков. И
> если бы ключи на gitery и gyle отрубились одновременно, я бы
> попал в значительно более безвыходное положение, чем сейчас.
> 
> Вы не знаете, может быть мне надо напрямую Глебу написать? Я
> до сих пор не могу ничего сделать, увы - ключи ещё не обновлены.
> Может быть все в отпусках?

Я думаю, что если залить публичные части ssh ключей прямо в баг,
это ускорит процесс.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]