[sisyphus] Security of openssh

[sisyphus] Security of openssh

[Ivan Adzhubey]

Приветствую!

А что у нас с openssh? Он не подвержен этому багу с генерацией уязвимых 
ключей? А то я весь день бегаю убунты обновляю и успокаиваю пользователей, 
которых ssh после этого отражает пачками с руганью на измененные ключи. А у 
нас все подозрительно тихо...

--Иван

Re: [sisyphus] Security of openssh

[Andrey Rahmatullin]

On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> А что у нас с openssh? Он не подвержен этому багу с генерацией уязвимых 
> ключей? А то я весь день бегаю убунты обновляю и успокаиваю пользователей, 
А надо было не бегать, а спокойно прочитать сообщение.
http://lists.debian.org/debian-security-announce/2008/msg00152.html

Re: [sisyphus] Security of openssh

[Ivan Adzhubey]

On Thursday 15 May 2008 04:04:19 am Andrey Rahmatullin wrote:
> On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> > А что у нас с openssh? Он не подвержен этому багу с генерацией уязвимых
> > ключей? А то я весь день бегаю убунты обновляю и успокаиваю
> > пользователей,
>
> А надо было не бегать, а спокойно прочитать сообщение.
> http://lists.debian.org/debian-security-announce/2008/msg00152.html

Ну знаете, тот факт, что эти патчи debian-specific меня не очень успокаивает. 
Откуда мне знать, что еще, кроме apt, позаимствовал в ALT у Debian ;-).

--Иван

Re: [sisyphus] Security of openssh

[Led]

Thursday, 15 May 2008 11:14:17 Ivan Adzhubey написав:
> On Thursday 15 May 2008 04:04:19 am Andrey Rahmatullin wrote:
> > On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> > > А что у нас с openssh? Он не подвержен этому багу с генерацией уязвимых
> > > ключей? А то я весь день бегаю убунты обновляю и успокаиваю
> > > пользователей,
> >
> > А надо было не бегать, а спокойно прочитать сообщение.
> > http://lists.debian.org/debian-security-announce/2008/msg00152.html
>
> Ну знаете, тот факт, что эти патчи debian-specific меня не очень
> успокаивает. Откуда мне знать, что еще, кроме apt, позаимствовал в ALT у
> Debian ;-).

AFAIR ALT "позаимствовал" apt не у Debian

-- 
Led

Re: [sisyphus] Security of openssh

[Ivan Adzhubey]

On Thursday 15 May 2008 04:17:37 am Led wrote:
> Thursday, 15 May 2008 11:14:17 Ivan Adzhubey написав:
> > On Thursday 15 May 2008 04:04:19 am Andrey Rahmatullin wrote:
> > > On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> > > > А что у нас с openssh? Он не подвержен этому багу с генерацией
> > > > уязвимых ключей? А то я весь день бегаю убунты обновляю и успокаиваю
> > > > пользователей,
> > >
> > > А надо было не бегать, а спокойно прочитать сообщение.
> > > http://lists.debian.org/debian-security-announce/2008/msg00152.html
> >
> > Ну знаете, тот факт, что эти патчи debian-specific меня не очень
> > успокаивает. Откуда мне знать, что еще, кроме apt, позаимствовал в ALT у
> > Debian ;-).
>
> AFAIR ALT "позаимствовал" apt не у Debian

Для тех, кто на бронетранспортере -- это была шутка юмора. Не кипятитесь 
пожалуйста.

--Иван

Re: [sisyphus] Security of openssh

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 701 bytes --]

Hi,

On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> А что у нас с openssh? Он не подвержен этому багу с генерацией уязвимых 
> ключей?

Если я вам отвечу, что он не подвержен этому багу, вы мне поверите?
Я бы на вашем месте просто проверил:  создал бы ключик и попробовал бы его
на том сервере, который после обновления не принимает этот вид слабых
ключей.

Возможно, что нам тоже стоит реализовать проверку на этот вид слабых
ключей, сделанных на неправильном openssl.

> А то я весь день бегаю убунты обновляю и успокаиваю пользователей, 
> которых ssh после этого отражает пачками с руганью на измененные ключи. А у 
> нас все подозрительно тихо...


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [sisyphus] Security of openssh

[Michael Shigorin]

On Thu, May 15, 2008 at 03:27:09PM +0400, Dmitry V. Levin wrote:
> > А что у нас с openssh? Он не подвержен этому багу с
> > генерацией уязвимых ключей?
> Если я вам отвечу, что он не подвержен этому багу, вы мне поверите?

Да уж, ты явно такие грибы не ешь, как эти поклонники
инструментов.

> Возможно, что нам тоже стоит реализовать проверку на этот вид
> слабых ключей, сделанных на неправильном openssl.

+1

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Security of openssh

[Ivan Adzhubey]

On Thursday 15 May 2008 07:27:09 am Dmitry V. Levin wrote:
> Hi,
>
> On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> > А что у нас с openssh? Он не подвержен этому багу с генерацией уязвимых
> > ключей?
>
> Если я вам отвечу, что он не подвержен этому багу, вы мне поверите?

Да, конечно. Это собственно то, что я и хотел услышать в ответ на свой вопрос.

> Я бы на вашем месте просто проверил:  создал бы ключик и попробовал бы его
> на том сервере, который после обновления не принимает этот вид слабых
> ключей.

Любопытно, попробую.

> Возможно, что нам тоже стоит реализовать проверку на этот вид слабых
> ключей, сделанных на неправильном openssl.

Хорошая идея.

> > А то я весь день бегаю убунты обновляю и успокаиваю пользователей,
> > которых ssh после этого отражает пачками с руганью на измененные ключи. А
> > у нас все подозрительно тихо...

Спасибо,
Иван

Re: [sisyphus] Security of openssh

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1101 bytes --]

On Thu, May 15, 2008 at 03:05:24PM -0400, Ivan Adzhubey wrote:
> On Thursday 15 May 2008 07:27:09 am Dmitry V. Levin wrote:
> > Hi,
> >
> > On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> > > А что у нас с openssh? Он не подвержен этому багу с генерацией уязвимых
> > > ключей?
> >
> > Если я вам отвечу, что он не подвержен этому багу, вы мне поверите?
> 
> Да, конечно. Это собственно то, что я и хотел услышать в ответ на свой вопрос.

А вот я бы на вашем месте не поверил, а пошёл проверять. :)

> > Я бы на вашем месте просто проверил:  создал бы ключик и попробовал бы его
> > на том сервере, который после обновления не принимает этот вид слабых
> > ключей.
> 
> Любопытно, попробую.

Можно даже поступить проще: воспользоваться новой утититкой, которая
появилась в debian/ubuntu для проверки ssh-ключей на этот критерий.

> > Возможно, что нам тоже стоит реализовать проверку на этот вид слабых
> > ключей, сделанных на неправильном openssl.
> 
> Хорошая идея.

Несколько мегабайт немного жалко.  Пока думаю, как это лучше устроить.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [sisyphus] Security of openssh

[Ivan Adzhubey]

On Thursday 15 May 2008 05:39:13 pm Dmitry V. Levin wrote:
> On Thu, May 15, 2008 at 03:05:24PM -0400, Ivan Adzhubey wrote:
> > On Thursday 15 May 2008 07:27:09 am Dmitry V. Levin wrote:
> > > Hi,
> > >
> > > On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> > > > А что у нас с openssh? Он не подвержен этому багу с генерацией
> > > > уязвимых ключей?
> > >
> > > Если я вам отвечу, что он не подвержен этому багу, вы мне поверите?
> >
> > Да, конечно. Это собственно то, что я и хотел услышать в ответ на свой
> > вопрос.
>
> А вот я бы на вашем месте не поверил, а пошёл проверять. :)

Я и проверил:

# rpm -qi openssh|fgrep Packager
Packager    : Dmitry V. Levin <ldv@altlinux.org>

;-)

--Иван

Re: [sisyphus] Security of openssh

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 919 bytes --]

On Thu, May 15, 2008 at 05:59:43PM -0400, Ivan Adzhubey wrote:
> On Thursday 15 May 2008 05:39:13 pm Dmitry V. Levin wrote:
> > On Thu, May 15, 2008 at 03:05:24PM -0400, Ivan Adzhubey wrote:
> > > On Thursday 15 May 2008 07:27:09 am Dmitry V. Levin wrote:
> > > > Hi,
> > > >
> > > > On Thu, May 15, 2008 at 04:01:04AM -0400, Ivan Adzhubey wrote:
> > > > > А что у нас с openssh? Он не подвержен этому багу с генерацией
> > > > > уязвимых ключей?
> > > >
> > > > Если я вам отвечу, что он не подвержен этому багу, вы мне поверите?
> > >
> > > Да, конечно. Это собственно то, что я и хотел услышать в ответ на свой
> > > вопрос.
> >
> > А вот я бы на вашем месте не поверил, а пошёл проверять. :)
> 
> Я и проверил:
> 
> # rpm -qi openssh|fgrep Packager

Ну всё же openssh тут всего-навсего один из пострадавших
(см. http://wiki.debian.org/SSLkeys), проверять нужно openssl/libssl*.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [sisyphus] Security of openssh

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 516 bytes --]

On Fri, May 16, 2008 at 01:39:13AM +0400, Dmitry V. Levin wrote:
> On Thu, May 15, 2008 at 03:05:24PM -0400, Ivan Adzhubey wrote:
> > On Thursday 15 May 2008 07:27:09 am Dmitry V. Levin wrote:
[...]
> > > Возможно, что нам тоже стоит реализовать проверку на этот вид слабых
> > > ключей, сделанных на неправильном openssl.
> > 
> > Хорошая идея.
> 
> Несколько мегабайт немного жалко.  Пока думаю, как это лучше устроить.

Встречайте:
openssh-server-5.0p1-alt2
openssh-blacklist-0.3-alt1


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [sisyphus] Security of openssh

[Michael Shigorin]

On Mon, May 26, 2008 at 10:16:46PM +0400, Dmitry V. Levin wrote:
> > > > Возможно, что нам тоже стоит реализовать проверку на этот
> > > > вид слабых ключей, сделанных на неправильном openssl.
> > > Хорошая идея.
> > Несколько мегабайт немного жалко.  Пока думаю, как это лучше устроить.
> Встречайте:
> openssh-server-5.0p1-alt2
> openssh-blacklist-0.3-alt1

Спасибо!

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Security of openssh

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 603 bytes --]

On Tue, May 27, 2008 at 09:37:36PM +0300, Michael Shigorin wrote:
> On Mon, May 26, 2008 at 10:16:46PM +0400, Dmitry V. Levin wrote:
> > > > > Возможно, что нам тоже стоит реализовать проверку на этот
> > > > > вид слабых ключей, сделанных на неправильном openssl.
> > > > Хорошая идея.
> > > Несколько мегабайт немного жалко.  Пока думаю, как это лучше устроить.
> > Встречайте:
> > openssh-server-5.0p1-alt2
> > openssh-blacklist-0.3-alt1
> 
> Спасибо!

Это спасибо полагается не только мне.  Полный список адресатов см.
http://openwall.com/lists/oss-security/2008/05/27/3


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]