Re: openssl

["Victor H De la Luz" <itztli@gmail.com>]

2008/5/18 Polo Oyarzún <correo512@gmail.com>:
> Tengo la siguiente interrogante:
> Hace poco hubo un problema de seguridad con openssl que afecta a las
> claves criptográficas y leo en http://debianchile.org la recomendación
> de una vez actualizado generarlas de nuevo.
> La inquietud es:
> ¿Tiene eso que ver con la clave root o las claves de los usuarios?
> ¿sería conveniente cambiarlas?
>
>
> --
> To UNSUBSCRIBE, email to debian-user-spanish-REQUEST@lists.debian.org
> with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org
>
>

En el mensage
 http://www.debian.org/security/2008/dsa-1571,
nos explica que situaciones son afectadas:

It is strongly recommended that all cryptographic key material which
has been generated by OpenSSL versions starting with 0.9.8c-1 on
Debian systems is recreated from scratch.

ESTO ES LO IMPORTANTE:
Furthermore, all DSA keys ever used on affected Debian systems for
signing or authentication purposes should be considered compromised;
the Digital Signature Algorithm relies on a secret random value used
during signature generation.
(El problema es el generador de numeros aleatorios del DSA, asi que
login no esta siendo afectado, ellos mismos mandarian una alerta
generalizada a todo mundo y esto seria el armagedon!)

The first vulnerable version, 0.9.8c-1, was uploaded to the unstable
distribution on 2006-09-17, and has since that date propagated to the
testing and current stable (etch) distributions. The old stable
distribution (sarge) is not affected.
(Tienes sarge? no te preocupes, no esta siendo afectada, sin embargo
etch con la version de openssh 0.9.8c1 hasta ahora si esta siendo
afectada).

Affected keys include SSH keys, OpenVPN keys, DNSSEC keys, and key
material for use in X.509 certificates and session keys used in
SSL/TLS connections. Keys generated with GnuPG or GNUTLS are not
affected, though.
(zaz X.509!)

Espero te haya servido para que estes un poco mas tranquilo. Los que
se deberian de preocupar son los que tienen servidores https para
realizar transferencias bancarias o informacion sensible, asi como los
que tienen acceso automatico desde servidores remotos via ssh.




-- 
Atte

ItZtLi

¤º°°º¤ø,¸¸,ø¤º°°º¤ø,¸¸,ø¤º°`°º¤ø,¸
 Nahui Tonalli Icniuhtli.
¤º°°º¤ø,¸¸,ø¤º°°º¤ø,¸¸,ø¤º°`°º¤ø,¸