« Chosen by fair dice roll. Guaranteed to be random. »
17 mai 2008 — NicozIl y a quelques jours, la révélation d’une faille de sécurité critique concernant le paquet openssl de Debian (et dérivés) a jeté un froid sur la banquise linuxienne. Un mainteneur Debian, qui pensait corriger des avertissements signalés par le logiciel Valgrind, a un peu modifié la partie du code concernant la génération des nombres pseudo-aléatoires. Le hic, c’est qu’après la manip, les nombres n’étaient pas ce qu’on peut qualifier d’aléatoires. Or c’est bien d’un système proche de l’aléatoire que l’on a besoin pour la génération de clés ; la modification du code a entraîné une énorme restrictions des clés possibles (seulement 250 000 clés possibles, selon linuxfr). Autre point étonnant, la faille existe depuis 2006, donc toutes les clés et les certificats générés sur la distribution Debian ou ses dérivés (Ubuntu, pour ne citer qu’elle) depuis cette date ne sont pas sûrs ! Il ne suffit pas de mettre à jour le paquet openssl (le correctif a d’ailleurs été très rapidement disponible), il faut changer les clés. C’est là que la faille est vicieuse (et sort de l’ordinaire) : la mise à jour ne suffit pas.
→ Il faut remplacer les clés RSA générées avec la version d’openssh non sûre et les clés DSA utilisées avec un système Debian ou dérivé qui utilisait la version incriminée (même si j’espère que c’est déjà fait, vu mon temps de réaction
).
Le trou de sécurité a été révélé le 13 mai, et il ne cesse de faire parler de lui dans les forums, sur les blogs, et dans les listes de diffusions. Il y a une raison à cela ; la faille (qui a vécu 2 ans !) est extrêmement grave, elle met directement en péril la sécurité d’une distribution réputée qui équipe bon nombre de serveurs. De plus, la mise à jour ne suffit pas à la combler. C’est une affaire bien sombre qui a secoué la blogosphère libre ces derniers jours, mais qui n’empêche pas de rigoler : terminons ce billet sur une note d’humour, mieux vaut en rire qu’en pleurer !
