Wishlist

• [^]Re: Wishlist

  Posté par ribwund () le 14/05/2008 à 08:44. (lien). Évalué à 3.

  Euh, comme dit dans le commentaire plus haut, ca depend du protocole, les clés DSA ont toutes été compromises si elles ont été utilisées sur un client debian.

  • [^]Re: Wishlist

    Posté par Aefron () le 14/05/2008 à 15:00. (lien). Évalué à 2.

    Certes, mais on dispose justement de plusieurs types de clés : personnellement, j'utilise essentiellement du RSA, qui ne semble pas avoir été gêné par ce problème, si j'en crois l'alerte sur la liste Debian, pour openssh...
    
    Je ne dis pas que c'eût été la solution à tout... je me demande juste si ça n'aurait pas limité la casse d'avoir la possibilité d'utiliser du token dans le cas d'openssh, avec de la RSA dedans... le token devrait s'occuper tout seul de générer les clés si on lui demande, et sans devoir demander à openssl de les générer, non ?
    
    Et, je peux me tromper, mais comme il ne semble pas que RSA ait besoin d'une valeur aléatoire via openssl pour athentifier/signer, le problème devrait se limiter à celui de la génération des clés, justement confiée au token, contrairement aux clés DSA dont la simple utilisation avec la version incriminée d'openssl suffit pour être dans la panade...
    
    
    
    Lorsqu'il m'est arrivé de faire du lego tortueux pour ne pas exposer mes clés SSH (en les mettant sur une clé USB dont je me sers vaguement comme d'un token du pauvre... avant tout pour que n'importe qui ne puisse pas avoir accès à des clés privées que je laisserais traîner dans mon /home, plus qu'autre chose), on m'a souvent suggéré d'utiliser un token (donc, pour des raisons différentes de celles qui me turlupinent dans ce bug)... mais ça a quand même l'air assez peu répandu et cher (d'autant que la plupart des offres que j'ai vues demandaient à commander des quantités conséquentes... orienté entreprise probablement)...
    
    D'ailleurs, quand j'ai demandé des précisions sur le sujet à ceux qui m'en parlaient : silence radio... je n'ai jamais trop vu de retours sur ce genre de choses ; j'ai beau être passionné par ce qu'on peut faire avec un réseau et les OS libres, je reste un profane autoditacte, non-professionnel, en la matière... je ne crache pas non plus sur des retours argumentés sur ces tokens : sont-ils vraiment si surfaits que ça, pour qu'ils aient l'air si peu répandus et que leur gestion soit si peu implémentée dans des choses comme openssh, notamment, pour la distro dont il est question dans ce journal (et que j'utilise au quotidien), par Debian ? Bref, pourquoi, monde cruel !?

    [^]Re: Wishlist

    Posté par boklm (page perso, ) le 14/05/2008 à 21:02. (lien). Évalué à 1.

    Non, ce n'est pas exactement ce qui est dit. D'après le commentaire plus haut, ce qui est compromis dans le cas de DSA c'est les fichiers ou connections signés à l'aide de cette clef et un mauvais openssl, mais pas la clef en elle meme.

    • [^]Re: Wishlist

      Posté par ribwund () le 15/05/2008 à 20:55. (lien). Évalué à 2.

      Non c'est la clé si tu regardes l'algo de signature, si la fonction de random est mauvaise on peut inverser facilement la fonction et avoir la clé privée.

    [^]Re: Wishlist

    Posté par wismerhill (page perso, ) le 14/05/2008 à 22:23. (lien). Évalué à 2.

    Que veux dire exactement "utilisées sur un client debian", j'ai une clé ssh DSA que j'ai généré sur ma mandriva, mais j'utilise l'agent ssh avec transition de l'agent (ForwardAgent, je sais qu'en elle-même cette fonctionnalité peut poser problème si on n'a pas confiance au root de la machine distante). Dois-je générer une nouvelle clé?

    • [^]Re: Wishlist

      Posté par briaeros007 () le 14/05/2008 à 23:18. (lien). Évalué à 1.

      non

      --
      Subete ga wakatta toki…watashi ga anta wo korosu.