Re: [LA-discussions] Faille ssh : conséquences ?

[Nicolas Dumoulin <nicolas.dumoulin@xxxxxxxxxxxxxxxx>]

Le Wednesday 21 May 2008 11:18:40 Yann Cochard a écrit :
> Bonjour,
>
> Si vous suivez l'actualité, vous êtes probablement au courant de la
> faille détectée récemment dans ssh :
> http://linuxfr.org/2008/05/15/24092.html

Tout d'abord, rectifions que cette faille ne concerne que les distributions à 
base de Debian.

> Ma question est : que faire maintenant ?

Dans le doute, regénérer ses clés.
Quelques infos en français là :
http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-246/CERTA-2008-AVI-246.html
« Tous les bi-clefs ssh engendrés par la commande ssh-keygen fournie par les 
versions vulnérables de OpenSSH sont donc considérés comme non-fiables et 
doivent être renouvelés. »

On peut tester ses clés avec l'outil ssh-vulnkey installé avec le correctif. 
En root, on peut tester toutes les clés d'une machine avec la commande :
ssh-vulnkey -a

> Faut-il ensuite en avertir les différents services que j'utilise ?
> Comme TuxFamily ?
TuxFamily semble avoir regénéré ses certificats. Tu peux leur poser plus de 
questions sur IRC …

> Et notre PC au local est-il concerné également ?

Nous n'avons pas de service SSH ouvert sur le réseau de notre local, donc 
c'est bon.

> Romain, nous avions échangé nos clefs ou je ne sais plus quoi, faut-il
> recommencer ?

Cette faille ne concerne que les clés SSH, pas les clés GPG.

-- 
Nicolas Dumoulin
LinuxArverne - Promotion du Logiciel Libre en Auvergne
http://www.linuxarverne.org/

Attachment: signature.asc
Description: This is a digitally signed message part.