Re: openssl

["Victor H De la Luz" <itztli@gmail.com>]

2008/5/18 Polo Oyarzún <correo512@gmail.com>:
> Tengo la siguiente interrogante:
> Hace poco hubo un problema de seguridad con openssl que afecta a las
> claves criptográficas y leo en http://debianchile.org la recomendación
> de una vez actualizado generarlas de nuevo.
> La inquietud es:
> ¿Tiene eso que ver con la clave root o las claves de los usuarios?
> ¿sería conveniente cambiarlas?
>
>
> --
> To UNSUBSCRIBE, email to debian-user-spanish-REQUEST@lists.debian.org
> with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org
>
>

Yo supondria que no, pues el sistema de logeo que utiliza linux es en
principio "no reversible", ¿Que quiere decir? que cuando tu pones tu
password en el login, linux vuelve a encriptar tu password y lo
compara con su db (que tambien esta encriptada) y si son iguales te da
entrada. Es decir, login no desencripta tu mensaje. Ahora no recuerdo
que algoritmo usa login, pero supongo es MD5 o SHA.

Mientras que SSH utiliza un protocolo de comunicación de tipo llave
publica-privada (RSA). Son las llaves privadas las sensibles a los
ataques, pues las llaves publicas las conocen todos (por eso son
publicas).  (mira el man de ssh:

     Public key authentication works as follows: The scheme is based on pub‐
     lic-key cryptography, using cryptosystems where encryption and decryption
     are done using separate keys, and it is unfeasible to derive the decryp‐
     tion key from the encryption key.  The idea is that each user creates a
     public/private key pair for authentication purposes.  The server knows
     the public key, and only the user knows the private key.  ssh implements
     public key authentication protocol automatically, using either the RSA or
     DSA algorithms.  Protocol 1 is restricted to using only RSA keys, but
     protocol 2 may use either.  The HISTORY section of ssl(8) contains a
     brief discussion of the two algorithms.
)


Si tienes acceso automatico via ssh entre servidores creo que deberias
de volver a generar tus llaves privadas e intercambiarlas entre tus
servidores de nuevo.


Pero no es necesario volver a generar passwords de root ni de
usuarios, son cosas diferentes.





-- 
Atte

ItZtLi

¤º°°º¤ø,¸¸,ø¤º°°º¤ø,¸¸,ø¤º°`°º¤ø,¸
 Nahui Tonalli Icniuhtli.
¤º°°º¤ø,¸¸,ø¤º°°º¤ø,¸¸,ø¤º°`°º¤ø,¸