Re: [ddr] webwml:/security/2003/dsa-266.wml
Le Mon, 24 Mar 2003 23:28:20 +0100
Thomas Marteau <marteaut@tuxfamily.org> a tapoté sur son clavier :
> Bonsoir,
>
> Je me suis jeté à l'eau sur cette dsa. J'ai fait au mieux vu mon niveau
> sur krb. Toute amélioration est comme toujours bienvenue.
Bonsoir,
Je n'y connais rien en Kerberos mais ayant la critique facile je
dirais que je n'ai pas plus compris en français qu'en anglais. ;-)
Néanmoins, voici ma correction pour l'orthographe et la grammaire :
-<li>Une faiblesse cryptographique dans la version 4 du protocol Kerberos
+<li>Une faiblesse cryptographique dans la version 4 du protocole Kerberos
permet à un attaquant d'utiliser une attaque via un texte simple pour
- être authentifier par les contrôleurs de domaine. D'autres faiblesses
+ être authentifié par les contrôleurs de domaine. D'autres faiblesses
cryptographiques dans l'implémentation krb4 incluse dans la distribution de
krb5 du MIT permettent l'utilisation d'attaques copier/coller pour fabriquer
des tickets krb4 pour des clients non-autorisés si les clés triple-DES
- sont utilisées pour les services de clé de krb4. Ces attaques peut
+ sont utilisées pour les services de clé de krb4. Ces attaques peuvent
compromettre l'entière infrastructure d'authentication Kerberos.
<p>Kerberos version 5 ne contient pas cette faille cryptographique.
Les sites ne sont pas vulnérables s'ils ont complètement désactivé Kerberos
- v4, incluant tout service de traduction de krb5 vers krb4 ;</p>
+ v4, y compris tous les services de traduction de krb5 vers krb4 ;</p>
</li>
<li>Des problèmes de sur et de sous-exploitations des tampons existent dans
- la gestion des noms de pincipaux contrôleurs de Kerberos dans certains cas
+ la gestion des noms de principaux contrôleurs de Kerberos dans certains cas
comme des noms sans composant, avec un composant vide ou un service basé
sur le nom de machine sans composant de nom de machine.</li>
</ul>
« La gestion des noms de principaux contrôleur » ne me parait pas
français mais vu que je ne sais pas ce qu'est un « principal » pour
Kerberos je ne peut rien proposer de mieux... :-(
Yannick
--
Helas ! on voit que de tout temps
Les petits ont pati des sottises des grands.
Jean de La Fontaine, Les Deux Taureaux et une Grenouille
--- dsa-266.wml 2003-03-25 22:34:33.000000000 +0100
+++ dsa-266.relu.wml 2003-03-25 22:43:09.000000000 +0100
@@ -4,18 +4,18 @@
implémentation de Kerberos du MIT.</p>
<ul>
-<li>Une faiblesse cryptographique dans la version 4 du protocol Kerberos
+<li>Une faiblesse cryptographique dans la version 4 du protocole Kerberos
permet à un attaquant d'utiliser une attaque via un texte simple pour
- être authentifier par les contrôleurs de domaine. D'autres faiblesses
+ être authentifié par les contrôleurs de domaine. D'autres faiblesses
cryptographiques dans l'implémentation krb4 incluse dans la distribution de
krb5 du MIT permettent l'utilisation d'attaques copier/coller pour fabriquer
des tickets krb4 pour des clients non-autorisés si les clés triple-DES
- sont utilisées pour les services de clé de krb4. Ces attaques peut
+ sont utilisées pour les services de clé de krb4. Ces attaques peuvent
compromettre l'entière infrastructure d'authentication Kerberos.
<p>Kerberos version 5 ne contient pas cette faille cryptographique.
Les sites ne sont pas vulnérables s'ils ont complètement désactivé Kerberos
- v4, incluant tout service de traduction de krb5 vers krb4 ;</p>
+ v4, y compris tous les services de traduction de krb5 vers krb4 ;</p>
</li>
<li>L'implémentation de Kerberos ;5 du MIT inclut une bibliothèque RPC
@@ -25,7 +25,7 @@
informations sensibles ;</li>
<li>Des problèmes de sur et de sous-exploitations des tampons existent dans
- la gestion des noms de pincipaux contrôleurs de Kerberos dans certains cas
+ la gestion des noms de principaux contrôleurs de Kerberos dans certains cas
comme des noms sans composant, avec un composant vide ou un service basé
sur le nom de machine sans composant de nom de machine.</li>
</ul>
Reply to: