http://www.linuxfr.org/2008/05/15/24092.html

Ca craint grave, surtout que c'est meme aps openssh qui est en cause, mais le couillon qui a package openssh pour debian

Attention, cela s'applique à TOUTES les distributions basées sur debian (Ubuntu, Xandros, ...)

De plus, la mise à jour n'est pas suffisante. Toutes les personnes qui utilise des connections ssh par clé dsa (j'insiste sur dsa) doivent regénérer une nouvelle clé. (et de préférence, une clé rsa cette fois )

PS : En fait, pratiquement personne ne doit être concerné sur ce forum.

PS2 : C'est le paquet openssl qui contient la faille (pas les paquets openssh-client et openssh-server qui ne font que dépendre de openssl)

PS3 : Il y a eu des cafouillages à de nombreux niveaux, donc ne rejeter pas la faute trop vite sur une seule personne, merci.

sauve qui peu ces la fin du monde
j'aime bien les commentaires ^^

Oupss http://daniel.molkentin.de/blog/archives/118-On-the-topic-of-recent-PRNG-discussions....html

Je n'ose imaginer la panique chez tous les admins reseaux qui se sont vu reveilles en sursaut de leur hamac par une news indiquant l'arrivee de leur effort annuel

Purée c'est pas rien cette boulette Oo c'est même assez énorme.

Tain la communauté toute entière doit être quand même en train de trembler là, un patch tout con qui défonce la génération de clés et qui reste 2 ans sans être détecté pour des distribs très populaires et surtout Debian souvent utilisée en serveur et axant pas mal sur la sécurité.

le probleme c'est que les cles generees ont l'air aleatoires, et il faut beaucoup de temps, de cles generees, de feedback et d'audit avant de s'en apercevoir. Ca fait 2 ans que c'est la, mais sitot repere, sitot corrige, c'est surtout ca qu'il faut voir amha

Ce qu'il faut voir c'est que durant ces deux ans ils ont eu du bol que personne ne s'en rende compte, sinon bonjour les compromissions en masse. C'est du niveau d'un script kiddie une faille pareille

Taper sur le développeur ne sert à rien, ce n'est pas un boulet incompétent, il a fait son boulot (c'est à dire aller discuter avec les développeurs d'OpenSSL avant d'intégrer son patch) et le code n'était pas des plus évidents, puisque même les personnes qui lui ont répondu ne mesuraient pas vraiment l'étendue des dégâts si on commentait ce code. Comme le dit le proverbe "l'erreur est humaine mais une catastrophe nécessite un ordinateur"

Plus d'infos ici : http://marc.info/?l=openssl-dev&m=114651085826293&w=2