Comments on: Hora do upgrade: Falha criptográfica grave no Debian e derivados afeta chaves SSL - inclusive as do seu SSH http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/ Linux levado a sério desde 1996 Sun, 07 Sep 2008 21:02:10 +0000 http://wordpress.org/?v=2.6 By: Mesmo quem não usa Debian pode correr risco com o recente bug do SSL/SSH « Nataniel. Notas sobre as TIC http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9677 Mesmo quem não usa Debian pode correr risco com o recente bug do SSL/SSH « Nataniel. Notas sobre as TIC Mon, 19 May 2008 17:45:11 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9677 [...] Mesmo quem não usa Debian pode correr risco com o recente bug do SSL/SSH Enviado em Segurança by snnangola em Maio 19th, 2008 Na semana passada o projeto Debian enviou um comunicado informando que, devido a uma modificação específica do Debian (realizada em 2006) no pacote openssl, as chaves criptográficas geradas nos sistemas afetados podem ser bem mais fracas do que deviam. (Saiba mais). [...] [...] Mesmo quem não usa Debian pode correr risco com o recente bug do SSL/SSH Enviado em Segurança by snnangola em Maio 19th, 2008 Na semana passada o projeto Debian enviou um comunicado informando que, devido a uma modificação específica do Debian (realizada em 2006) no pacote openssl, as chaves criptográficas geradas nos sistemas afetados podem ser bem mais fracas do que deviam. (Saiba mais). [...]

]]> By: Informações sobre a falha do openssl « Penguim’s Place http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9647 Informações sobre a falha do openssl « Penguim’s Place Mon, 19 May 2008 14:36:56 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9647 [...] Na semana passada o projeto Debian enviou um comunicado informando que, devido a uma modificação específica do Debian (realizada em 2006) no pacote openssl, as chaves criptográficas geradas nos sistemas afetados podem ser bem mais fracas do que deviam. (Saiba mais). [...] [...] Na semana passada o projeto Debian enviou um comunicado informando que, devido a uma modificação específica do Debian (realizada em 2006) no pacote openssl, as chaves criptográficas geradas nos sistemas afetados podem ser bem mais fracas do que deviam. (Saiba mais). [...]

]]> By: Eder L. Marques http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9498 Eder L. Marques Fri, 16 May 2008 20:06:05 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9498 Pessoal, em vez de especular, vamos checar as informações. O patch não foi feito arbitrariamente. O desenvolvedor debian responsavel pelo pacote na época entrou em contato com os desenvolvedores do openssl, e houve uma aceitação do patch por parte de um membro da equipe de desenvolvimento. http://marc.info/?l=openssl-dev&m=114652287210110&w=2 E o padrão é isso, entrar em contato com o upstream, sempre que uma alteração é necessária. Então, sem FUD. :) []'s -- Eder L. Marques http://blog.edermarques.net/ http://administrando.net/ Pessoal, em vez de especular, vamos checar as informações.

O patch não foi feito arbitrariamente. O desenvolvedor debian responsavel pelo pacote na época entrou em contato com os desenvolvedores do openssl, e houve uma aceitação do patch por parte de um membro da equipe de desenvolvimento.
http://marc.info/?l=openssl-dev&m=114652287210110&w=2

E o padrão é isso, entrar em contato com o upstream, sempre que uma alteração é necessária. Então, sem FUD. :)

[]’s

–
Eder L. Marques
http://blog.edermarques.net/
http://administrando.net/

]]> By: Gondim http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9396 Gondim Thu, 15 May 2008 19:30:44 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9396 Pessoal, errar é humano e para quem não lembra até mesmo o OpenBSD já teve uma vulnerabilidade no ssh. Eu assino listas de segurança e sempre que vejo alguém comentar uma falha a equipe de security do Debian é uma das primeiras, senão a primeira à lançar as correções e antes mesmo de postarem nas listas o pacote já se encontra disponível para atualização. Aquela vulnerabilidade do vmsplice no kernel, foi a equipe do Debian que postou um paleativo para corrigir o problema sem mesmo precisar rebootar o sistema até que saísse o patch definitivo. Isso mostra o quanto eles são bons no que fazem. Estou satisfeito com o empenho deles e erros podem acontecer, ninguém está livre deles e se alguém ainda acha que está 100% seguro, então isso é lamentável. :) Pessoal, errar é humano e para quem não lembra até mesmo o OpenBSD já teve uma vulnerabilidade no ssh. Eu assino listas de segurança e sempre que vejo alguém comentar uma falha a equipe de security do Debian é uma das primeiras, senão a primeira à lançar as correções e antes mesmo de postarem nas listas o pacote já se encontra disponível para atualização. Aquela vulnerabilidade do vmsplice no kernel, foi a equipe do Debian que postou um paleativo para corrigir o problema sem mesmo precisar rebootar o sistema até que saísse o patch definitivo. Isso mostra o quanto eles são bons no que fazem. Estou satisfeito com o empenho deles e erros podem acontecer, ninguém está livre deles e se alguém ainda acha que está 100% seguro, então isso é lamentável. :)

]]> By: Psycho Mantys http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9377 Psycho Mantys Thu, 15 May 2008 17:46:47 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9377 Adorei a piada do debian stable e nao entendi pq marcaram como troll :p. Sempre odiei essa mania de fazer patch's de codigos do Debian. Nao concordo com o fato de ser desprezado versões mais novas de programas para nao sair na versão estável(fazendo um vovo-sistema) e aceitar patchs que eles mesmos fazem, sendo que eles nao fazem o programa e querem se confiar mais? Quanto a digitar root no slackware: Isso sempre foi assim. Por um simples motivo: Se vc vai instalar o sistema, voce vai fazer isso como root no pseudo live-cd do slackware. Isso nao e uma falha de seguranca. Eu nao sei e porque ele ainda pede para digitar. :p. Devia era entrar direto.... Adorei a piada do debian stable e nao entendi pq marcaram como troll :p.

Sempre odiei essa mania de fazer patch’s de codigos do Debian. Nao concordo com o fato de ser desprezado versões mais novas de programas para nao sair na versão estável(fazendo um vovo-sistema) e aceitar patchs que eles mesmos fazem, sendo que eles nao fazem o programa e querem se confiar mais?

Quanto a digitar root no slackware: Isso sempre foi assim. Por um simples motivo: Se vc vai instalar o sistema, voce vai fazer isso como root no pseudo live-cd do slackware. Isso nao e uma falha de seguranca. Eu nao sei e porque ele ainda pede para digitar. :p. Devia era entrar direto….

]]> By: MaxRaven http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9318 MaxRaven Wed, 14 May 2008 19:45:21 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9318 Só para completar a informação que disse acima aqui vai o link: http://www.guiadohardware.net/comunidade/bug-senha/862865/ Agora, vendo com calma, segundo ele começou após atualizar o drive da nvidia, mas sei lá, se alguem que use debian e saiba investigar tiver tempo, pode até achar algo (ou não). Só para completar a informação que disse acima aqui vai o link:
http://www.guiadohardware.net/comunidade/bug-senha/862865/

Agora, vendo com calma, segundo ele começou após atualizar o drive da nvidia, mas sei lá, se alguem que use debian e saiba investigar tiver tempo, pode até achar algo (ou não).

]]> By: Solução em 24 horas « Caminho Livre http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9307 Solução em 24 horas « Caminho Livre Wed, 14 May 2008 18:38:58 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9307 [...] em 24 horas Ontem li no Br-Linux sobre uma falha encontrada no Debian e derivados relacionado a uma modificação específica no [...] [...] em 24 horas Ontem li no Br-Linux sobre uma falha encontrada no Debian e derivados relacionado a uma modificação específica no [...]

]]> By: amg1127 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9267 amg1127 Wed, 14 May 2008 14:41:30 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9267 Deu trabalho... Mas ontem mesmo, regenerei todos os certificados SSL e chaves de SSH geradas por um servidor Ubuntu 8.10 que até então era vulnerável à falha. Deu trabalho… Mas ontem mesmo, regenerei todos os certificados SSL e chaves de SSH geradas por um servidor Ubuntu 8.10 que até então era vulnerável à falha.

]]> By: miranda http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9257 miranda Wed, 14 May 2008 14:08:00 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9257 <i>(Como diz aquela grande empresa japonesa, “Os nossos japoneses são mais criativos que os japoneses dos outros.”)</i> Os nossos BUG's são mais criativos que os dos outros , lógico, bug nenhum é bom mas é só pra mostrar o GRANDE ABISMO que existe entre uma falha no Linux e a falha "no (s) outro (s)" Me fale ai alguem de vocês: Quem usa no desktop o SSH?? Um usuario tido como convencional que navega na internet, lê e-mails, usa pra postar aqui no br-linux, usa OpenOffice e outras perfumarias mais, nunca vai usar o SSH pra nada (esse usuário descrito ai sou eu ;D) Agora fica a pergunta para os usuario do podrecoOS: Quem nunca instalou o podreco com o queijo-suiço e o pró-virus (embutido, logico) e ao acabar a instalação entrou na web e não consegui ficar 10 minutos sem pegar um virus?? Não venham com mentiras, esse teste eu ja fiz. Glossário podrecoOS : windows queijo-suíço : internet explorer pró-vírus : outlook express (Como diz aquela grande empresa japonesa, “Os nossos japoneses são mais criativos que os japoneses dos outros.”)

Os nossos BUG’s são mais criativos que os dos outros , lógico, bug nenhum é bom mas é só pra mostrar o GRANDE ABISMO que existe entre uma falha no Linux e a falha “no (s) outro (s)”

Me fale ai alguem de vocês: Quem usa no desktop o SSH?? Um usuario tido como convencional que navega na internet, lê e-mails, usa pra postar aqui no br-linux, usa OpenOffice e outras perfumarias mais, nunca vai usar o SSH pra nada (esse usuário descrito ai sou eu ;D)

Agora fica a pergunta para os usuario do podrecoOS: Quem nunca instalou o podreco com o queijo-suiço e o pró-virus (embutido, logico) e ao acabar a instalação entrou na web e não consegui ficar 10 minutos sem pegar um virus??

Não venham com mentiras, esse teste eu ja fiz.

Glossário

podrecoOS : windows
queijo-suíço : internet explorer
pró-vírus : outlook express

]]> By: timm http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9255 timm Wed, 14 May 2008 14:07:11 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9255 Isso por que chamam "Debian Stable". hehe. Isso por que chamam “Debian Stable”.

hehe.

]]> By: Danilo Cesar http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9246 Danilo Cesar Wed, 14 May 2008 13:02:13 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9246 Só diga pro cara dar um passwd no usuário root dele. O problema será corrigido. Só diga pro cara dar um passwd no usuário root dele. O problema será corrigido.

]]> By: Danilo Cesar http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9245 Danilo Cesar Wed, 14 May 2008 13:01:20 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9245 Max: Debian a muito tempo atrás era senha do tipo DES. Quando o Debian atualizou, ele não regerou a senha dos que eram DES. Se a senha do cara continua com este BUG, então o cara não atualiza a senha dele a pelo menos uns 4 anos. O que é ruim, imho. Max: Debian a muito tempo atrás era senha do tipo DES. Quando o Debian atualizou, ele não regerou a senha dos que eram DES.

Se a senha do cara continua com este BUG, então o cara não atualiza a senha dele a pelo menos uns 4 anos. O que é ruim, imho.

]]> By: cmd_barbossa http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9243 cmd_barbossa Wed, 14 May 2008 12:59:29 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9243 Galera, parem de generalizar a falha! O problema não foi o Linux, e sim uma aplicação de uma distribuição específica!! Generalizar isso dizendo que "linux é inseguro" é muita cegueira, burrice ou má-fé! Galera, parem de generalizar a falha! O problema não foi o Linux, e sim uma aplicação de uma distribuição específica!!
Generalizar isso dizendo que “linux é inseguro” é muita cegueira, burrice ou má-fé!

]]> By: João Marcus http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9242 João Marcus Wed, 14 May 2008 12:58:12 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9242 @MaxRaven, O problema não está relacionado, não. Na verdade, pelo que eu vi, foi um patch meio estúpido que alguém fez. Basicamente, alguém removeu a geração de uma sequência aleatória para as chaves, tornando-a previsível, o que é uma falha gravíssima. Mas, afinal, o que estavam pensando quando fizeram isso? Quem é que pensou <i>"Já sei, vou remover essa geração de sequência aleatória, ah, não deve fazer nenhuma diferença"</i>? @MaxRaven,

O problema não está relacionado, não. Na verdade, pelo que eu vi, foi um patch meio estúpido que alguém fez. Basicamente, alguém removeu a geração de uma sequência aleatória para as chaves, tornando-a previsível, o que é uma falha gravíssima.
Mas, afinal, o que estavam pensando quando fizeram isso? Quem é que pensou “Já sei, vou remover essa geração de sequência aleatória, ah, não deve fazer nenhuma diferença”?

]]> By: tiaggs http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9241 tiaggs Wed, 14 May 2008 12:56:00 +0000 http://br-linux.org/2008/hora-do-upgrade-falha-criptografica-grave-no-debian-e-derivados-afeta-chaves-ssl-inclusive-as-do-seu-ssh/#comment-9241 Caramba gente acho que o muitos que comentaram acima não freqüentam muito as bug list...a respeito conheço um hacker que adora o Win Server 2003 hehe tem um probleminha lah que não foi corrigido ate hoje kakaka... Caramba gente acho que o muitos que comentaram acima não freqüentam muito as bug list…a respeito conheço um hacker que adora o Win Server 2003 hehe tem um probleminha lah que não foi corrigido ate hoje kakaka…

]]>