samedi 11 octobre
Accueil :: Dépêches :: Entretiens :: Journaux :: Forums :: Sondages :: Suivi :: Statistiques :: Contact :: Plan

Liens connexes

Dépêche modérée par

: Un bug de GnuPG compromet plusieurs centaines de clés

Posté par Jar Jar Binks (page perso, ). Modéré le 27 novembre 2003.
0
Werner Koch a annoncé ce matin la découverte par Phong Nguyen d'un bug critique dans GnuPG. Ce bug permet d'obtenir en quelques secondes la clé secrète de certaines personnes, pouvant ainsi usurper leur identité ou déchiffrer les courriers qui leur sont destinés.

Heureusement, seules les doubles clés utilisant ElGamal pour la signature et le chiffrement sont affectées, et leur nombre total est estimé à environ un millier.

> Lire la suite (32 commentaires, moyenne: 3,4).   [dépêche : 662 caractères]

La liste de toutes les clés de votre trousseau qui sont affectées peut être obtenue avec la commande suivante :
gpg --list-keys --with-colon | awk -F: '{if($4 == 20) print "gpg --list-keys 0x"$5}'|sh

Un exemple de clé affectée :
pub 1024D/xxxxxxxx 1998-10-12 Foo bar
sub 1024G/xxxxxxxx 1998-10-12 [expire: 2012-10-25]

Notez le G majuscule qui indique les doubles clés ElGamal de chiffrement/signature. Les clés marquées d'un D (DSA), d'un R (RSA) ou d'un g (ElGamal simple) ne sont pas compromises.

Si votre propre clé est compromise, vous devez immédiatement générer un certificat de révocation et l'envoyer sur les serveurs de clés.

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

Re: Un bug de GnuPG compromet plusieurs centaines de clés

Posté par patrick_g (page perso, ) le 27/11/2003 à 10:42. (lien). Évalué à 11.

On dira ce qu'on voudra (et on me moinssera sauvagement) mais je pense que pour un newbie comme moi il vaut mieux ne pas être parano que d'essayer de se servir correctement de GnuPG.
Le principe et complexe, l'utilisation est complexe....et les risques de conneries bien présents.
Je sais bien que ce sont les softs clients qui s'occupe de tout mais je sens que je vais encore faire des bétises tant que j'aurai pas vraiment compris l'architecture de ce truc.

Re: Un bug de GnuPG compromet plusieurs centaines de clés

Posté par TSelek () le 27/11/2003 à 10:52. (lien). Évalué à 11.

Nombre de clés estimé par le nombre sur les key-servers. or on ne charge pas toujours ses clés sur ces serveurs, notemment pour des usages internes.

Un bon principe est de donner des durées de vie courte à ses clés, 2 ans c'est vraiment le max.

Bon sinon le type de clé en question n'est pas de "base" (16/20), il faut le demander et accepter un warning...

Re: Un bug de GnuPG compromet plusieurs centaines de clés

Posté par Stephane Papillon (Jabber id, page perso, ) le 27/11/2003 à 10:54. (lien). Évalué à 5.

un patch vient de sortir sur Gnupg 1.2.3
http://lists.gnupg.org/pipermail/gnupg-announce/2003q4/000277.html(...)


donc apparement c'est la fin du chiffrement avec Elgamal ? au lieu de corriger le bug on empeche de signer/chiffrer avec une cle Elgamal.

--
GPG: 0x58DA381D

[+] Et les clefs des dev Debian et autres gros projects

Posté par Jean-Michel Kelbert () le 27/11/2003 à 12:17. (lien). Évalué à -1.

Quelqu'un a t'il testé si des clefs de dev Debian et autres gros projets sont touchés ? Ca serait cool de le testé et d'avertir les personnes concernées. Histoire qu'on se retrouve pas avec qq'un nous uploadant des paquets vérolé sous une fausse identité. Encore faut-il avoir un compte, mais bon...

Re: Un bug de GnuPG compromet plusieurs centaines de clés

Posté par lordcow () le 27/11/2003 à 17:21. (lien). Évalué à 3.

Phong Nguyen ? C'est pas le programmeur de AsmFlash sur HP48S, à l'époque?

--
Je est un autre.

Re: Un bug de GnuPG compromet plusieurs centaines de clés

Posté par LeRat () le 27/11/2003 à 23:09. (lien). Évalué à 6.

Pour ce qui est du nombre de commandes en console, je ne dirais pas qu'il est seulement de 5, mais effectivement, c'est un programme assez intuitif pour qui sait deja ce qu'il est cense faire.
Je me permet donc de le rappeler !

D'abord l'idee, c'est d'utiliser la theorie des nombres (vous savez, mathematiques modulaires, nombres premiers, fonctions a trappes, ... bref de quoi faire de beaux reves) pour la cryptographie. C'est pas nouveau, ca a commence avec le RSA (d'ailleurs GnuPG peut l'utiliser).
Ca permet d'avoir une clef publique, qu'on file a tout le monde (mais sans hesiter hein... on la met sur des serveurs ou on la retrouve avec votre mail, votre pseudo, votre nom, votre prenom, ...), et une clef PRIVEE qui lui est associee qu'on garde bien au chaud pour soi. Elle est protegee par un pass au cas ou mais c'est pas ca la securite, C'EST BEL ET BIEN QU'ELLE EST CENSEE RESTER A VOTRE SEULE VUE.
Avec la clef publique, tout le monde peut crypter des messages que seul vous (avec votre clef privee), pouvez decrypter. Un peu comme si vous filiez a tout le monde des canedas ouverts pour enfermer les messages qui vous sont destines, mais que vous gardiez la clef pour les ouvrir.
Avec la clef privee, vous pouvez aussi signer des messages dont tout le monde pourra verifier l'authenticite avec la clef publique.

En gros au debut il y avait PGP, duquel est issu le standard OpenPGP, dont GnuPG est une implementation.

Tout ca trouve surtout son interet pour les mails, car il faut savoir que :
- les mails destines a Monsieur X arrivent effectivement la majorite du temps directement aux yeux de Monsieur X et lui seul (personne ne lui pique, personne ne l'intercepte), bien que des risques restent existants (surtout s'il s'agit de donnees recherchees par un provider, un hebergeur mail, un gouvernement, Echelon ;)...)
- les mails provenant d'apres le serveur de mails de Monsieur X peuvent tout a fait avoir etes envoyes par Monsieur Y (les "ignares" appellent ca le mail "anonyme")

On peut TOUT faire avec gpg en console (GnuPG quoi), Enigmail permet de tout integrer ou presque a mozilla (une fois l'installation et la configuration de depart faites), gpa je le deconseille (pas complet du tout) et kpgp est effectivement pas mal.

N'oubliez pas de mettre un pass a votre clef !
Ca peut etre sympa si vous laissez votre machine a un pote le temps d'aller aux toilettes par exemple (mauvais exemple chuis en dvorak... hin hin hin), ou bien si un script kiddy intercepte la clef (mais faudrait que vous soyez mauvaaais... lol)

[+] Re: Un bug de GnuPG compromet plusieurs centaines de clés

Posté par Roger Rabbit () le 28/11/2003 à 13:09. (lien). Évalué à -2.

Yo,

pour les réfractaires à gnupg , et après quelques post sur les problèmes
d'utilisation une solution simple pour signer/crypter sans se prendre le choux
c'est kgpg couplé à kmail.

Au premier lancement kgpg demande les infos pour la création du keyset,
ensuite il runne dans la taskbar, on crypte ou signe en cliquant glissant un
fichier dessus, ou sinon grace au menu contextuel ....

L'integration au client kmail est tres simple aussi, il suffit de selectionner
sa clé dans le menu de configuration "identité" puis onglet sécurité.

Plus d'excuses maintenant ;)

Revenir en haut de page

Run by Team LinuxFr.org

Cette page a été générée par Templeet en 0.1427s (dont 0.0255 de SQL).
Cette page est peut-être conforme xhtml 1.0.
Information sur le site.
Faire un don !