E‘ stata scovata proprio ieri una vulnerabilità nel motore di generazione casuale usato da OpenSSL. Il modulo di generazione chiavi è il solito usato da OpenSSH, OpenVPN e per la generazione di certificati SSL. In pratica un certo Luciano Bello ha scoperto che le chiavi vengono generate in maniera non troppo casuale, ovvero potrebbero essere forzate con molta facilità. Questo fatto è dovuto da una modifica da parte di Debian al pacchetto ufficiale. I sistemi Linux vulnerabili sono quindi Debian, Ubuntu e tutte le derivate da Debian, nulla esclude che chiunque usi quel pacchetto possa essere affetto dal solito bug.
Qui c'è il ticket (DSA-1571) per Debian mentre gli annunci di vulnerabilità per Ubuntu sono qui (usn-612-1) e qui (usn-612-2).
Consiglio vivamente di aggiornare la propria distribuzione e di generare nuovamente le chiavi SSH e i certificati SSL.
Il pacchetto aggiornato per Ubuntu di OpenSSL è il seguente:
openssl-0.9.8g-4ubuntu3.1
Installando i soliti aggiornamenti di Ubuntu, Debconf (o come si chiama) mi ha avvisato di questo ed ha risolto. :-)
Beh si, Ubuntu ha automatizzato il tutto però io che ho una chiave ssh per caricare sorgenti su Launchpad e gestire un account all’università mi sono arrivate un po‘ di mail per dirmi che dovevo aggiornare le mie chiavi ssh! ;)