Kommentare zu: Debian SSL Super-GAU

Von: Buzz, Rex, Bo, Hamm, Slink, usw. | ölbergblog - Leben und Arbeiten auf dem Wuppertaler Ölberg

Fri, 22 Aug 2008 15:38:45 +0000

[...] ob ihrer Stabilität, Schlankheit und des aufgefeilten Package-Management. Auch wenn schwierige Zeiten dabei waren, wünsche ich viel Erfolg für die nächsten 15 Jahre. [...]

Von: strik

strik — Thu, 15 May 2008 09:38:20 +0000

Ja, das hatte ich auf den ersten Blick auch überlesen. Dummerweise wird es auch in den meisten Meldungen zum Problem gar nicht erwähnt. Ich schätze, dass da ein großes Potenzial für Angreifer existieren wird.

Ich weiß inzwischen auch, wieviel Aufwand das ist – ich bin immer noch dabei, die Schlüssel von meinen privaten Rechnern auszutauschen. Was für ein Glück, dass ich zur Zeit Urlaub habe und dafür etwas Zeit finde. ;(

Von: tex

tex — Thu, 15 May 2008 09:30:11 +0000

Danke für den Hinweis, das hatte ich überlesen. Da liege ich mit dem Titel “Super-GAU” ja gar nicht so falsch.

Von: strik

strik — Thu, 15 May 2008 09:04:19 +0000

> So ziemlich alle privaten Schlüssel die seit dem 17.11.2006 erzeugt wurden sind absolut unbrauchbar und mit einfachsten Mitteln angreifbar.

Das ist nur die halbe Wahrheit: Tatsächlich müssen auch alle DSA-Schlüssel, die auf solchen Systemen in dem Zeitraum benutzt wurden, als angreifbar gelten – unabhängig davon, ob diese DSA-Schlüssel auf solchen Maschinen erstellt wurden oder nicht:

“Additionally, simply the use of DSA keys may have compromised them. A strong key (i.e., generated with a ‘good’ OpenSSL) but used locally on a machine with a ‘bad’ OpenSSL must be considered to be compromised. This is due to an ‘attack’ on DSA that allows the secret key to be found if the nonce used in the signature is reused or known.” (http://wiki.debian.org/SSLkeys.....8cf5a74cfb)

Von: tex

tex — Thu, 15 May 2008 07:35:55 +0000

Copy’n'Paste Fehler. Wurde korrigiert. Danke für den Hinweis.

Von: daniel

daniel — Thu, 15 May 2008 07:32:55 +0000

Fefe hat damit nix zu tun. @ link1