Milióny open-source operačních systémů postiženy bezpečnostní chybou

1. V nadpisu nemel byt Linux, protoze napr Muj RHEL touto chybou netrpi, takze uz v napisu mel byt Debian Linux.

2. Hulan zde zase kafra dezinformace.

3. Zapominate na PGP a jeho 3jny klic, kdy kazdou zpravu umela FBI/CIA rozsifrovat ?

jediny kdo ji nemel implementovanu byl balik OpenPGP ... proc, protoze nemeli zdrojhak a binarni balast odmitli importovat, byla to takova hruza, ze autor PGP odmitl mit dale cokoliv spolecneho ze spolecnosti vydavajici PGP.com.

4. Ano windows maji jeste horsi generator nahodnych cisel.

5. Solaris min. od verze 10 pouziva OpenSSL )) stejne jako ZLIB a podobne, ale solaris ma taky svuj generator nahodnych cisel, ktery lze pouzit.

6. Banky pouzivaji HW generatory na bazi sumivych diod, pretaktovanych obvodu a jinych zrudnosti.

7. Je to obrovska ostuda Debianu, protoze to svetdci o tom, ze po uprave neudelali test random generatoru a to je spatne.

Lidi okolo OpenBSD zato nemohou a tak v jinych OS tato chyba neni, snad to bude pouceni do budoucna.

V článku se píše o čtyřech operačních systémech, v titulku jsou jich milióny. Kdo u vás ty titulky dělá? Je skutečně jednička. To je někdy fakt síla, co se tam objeví

Chlapi, jdem na pivo? Našel jsem jednoduchou IT soutěž o sud. V tomto počasí to bodne!

http://blogs.technet.com/technetczsk/archive/2008/05/23/steve-sallmer-v-praze-sud-piva-hlasky.aspx

Ten steve-sallmer je Steve Ballmer a je to propagece MS.

Chápu to dobře - slaxu se to netýká protože není založen na debianu? Používá jiný knihovny pro SSL?

Ano, týká se to pouze distribucí, které vycházejí z Debianu. Slax vychází ze Slackware, jeho se to netýká. Viz příspěvek "Debian OpenSSL".

Chyba se týká _POUZE_ systémů postavených na Debianu, tedy např. samotný Debian, různé verze Ubuntu, Lindows/Linspire nebo Knoppix. Jedná se tedy (snad s výjimkou samotného Debianu) o distra, která se jako servery nepoužívají - na serverech se nalézají spíše distra jako Gentoo nebo RedHat EL/Fedora

Lživě tedy opět nezklamalo. Nechcete raději dělat něco jiného, něco čemu rozumíte? Třeba umývat okna, nebo prodávat na Zelňáku pomeranče?

+1...

Na to že nikdo Linux nepoužívá jsou miliony postižených open source operačních systemu - a to se bavime jen o zaloý¨žených na Debianu celkem velký číslo.Takže bude třeba titulku upravit mohla by znít nějak jako - sice nikdo tyto open source operační systemy nepoužívá ale jsou postiženy chybou.To už by bylo zcela v duchu jiných zpráv. a je třeba držet linii ne dneska tvrdit nikdo nepoužívá a zítra objevit miliony strojů s jednou distribucí - či odvozenýma.

ale ty klice jsou prece prenosne.. nerikej, ze jako velky znalec nenechavas ve sve firme generovat klice v jenom centralnim repozitari ? a uz vidim ja nebezi na ubuntu :)

problem je v tom, ze je potreba udelat blacklist i do vsech ostatnich systemu (i do windows) - coz nikdo jeste neudelal a proto tolik povyku..

ubuntu ani jiný Debian-klon nikde nepoužívám - jedu (z pochopitelných důvodů) výhradně na Gentoo Většinou jsou to servery v menších firmách, kde si klíče generuje sám server. Ve větších firmách pak repozitory samozřejmě mám, ale opět nikde žádné Debiany/ubuntu.

P.S.: i na desktopu používám výhradně Gentoo - jsem rád svým pánem a chci vědět co se mi do systému instaluje a jak je to nastaveno.

tak zeby CFlag zajistoval absolutni kontrolu nad tim co jak funguje bych se tvrdit neodvazoval a to mam gentoo taky vsude krome desktopu, protoze si alternativni desktopovy system pro svou praci zkratka nemohu dovolit (prosim, kdo jste v pokuseni flamovat o tom, ze linux s KDE/Gnome/ kdovi cim se da pouzivat jako desktop, rovnou toho nechte, ja vam v tom nebranim...)

na firmeni repozitari (kde bezi a vzdycky bezelo gentoo) jsem blacklistnul ony klice a kdo by to byl rekl... ze 4000 klicu jich vice nez 190 bylo na blacklistu - touto praktickou zkusenosti ukoncuji vase teoreticke debaty - zkuste si to projet taky a vysledek si nechte pro sebe, nema to cenu - relevantni infromace tady zkratka nikoho nezajimaji

CFlag samozřejmě není všespásný, nicméně je to řádově lepší řešení než u konkurence, kde je člověk postaven buď před fakt, že si může vybrat z 10 různě zkompilovaných verzí jedné aplikace (v lepším případě je to rozděleno po modulech), anebo si to ubastlit/zkompilovat sám někde v adresáři.

A co se klíčů týká - teď jsem to projel, a výsledek je takový, jaký jsem očekával -- 0 výskytů.

co mi brani si kompilovat pod jinym distrem ? nic :)

ano, také jsem tak začínal, kompiloval jsem si věci na RH (no, vlastně můj úplný začátek bylo FreeBSD někdy v roce 1994)... Ale pak jsem našel Gentoo. Proč bych se měl vracet?

nic, ja to schvaluju :) a docela ti zavidim ze si muzes dovolit to pouzivat i na desktopu :) treba se mi to taky nekdy podari (nejdriv potrebuju ale zajistit pravidelnou rentu :D)

V případě, že klíče nebyly generovány onou debianí verzí openssl, což v případě jiných distribucí a windows lze předpokládat, tak žádné nebezpečí nehrozí. Takže povyk pro nic.

prectete si laskave znovu a poradne muj prispevek, nez na nej reagujete

Přečetl jsem a došel ke stejnému závěru

v tom pripade vam nemohu pomoci :)

Podla mojho nazoru je problem naozaj len ssh servera na debiane (a odvodenych), ved predsa ak zmazem kluc na serveri, tak sa ziadny klient zo starym klucom nepripoji. Cize problem sa tyka len a len servera. Ak sa mylim, tak ma pokojne opravte, ale myslim si, ze mam pravdu.

problem je s klici _vygenerovanymi_ v debianu ne s temi uzivanymi v debianu (openssl-blacklist to resi)... jeden klic muzete pak pouzivat ve spouste aplikaci - treba i windowsovskych... _to_ je problem

Ano, to som si neuvedomil, je to pravda, ale adminov, ktori generuju kluce na debiane a potom ich pouziju na serveri na inom OS nie je vela a zrejme to nie je ten typ adminov, ktorym 95% pracovneho casu zaberie Counter-Strike

Cize problem to urcite je, ale ti, ktorych sa to tyka na ne-Debiane si to dokazu vyriesit aj sami (prepokladam, ze je to Vas pripad )

problem je spis v tom ze hodne lidi chodi se svymi klici, kterymi chteji pristupovat do ssl :) prectete si nekde vyse muj prakticky test a to jsme zcela prumerna velka firma :)

ehm... já bych nikdy nepovolil přístup do systému někomu s "bůhvíjakým" svým klíčem... tohle se týká i příspěvků o něco výše, nepředpokládal jsem, že někdo toto provozuje u svých zaměstnanců / partnerů... pokud ano, pak je samozřejmě blacklist na místě, ale to by snad měli admini vědět a patřičně reagovat

treba az jednou budete opravdu pracovat jako administrator nejakeho systemu zmenite nazor... pokud jiz pracujete, je mi lito vaseho zamestnavatele, ktery je nucen podrizovat se vasim extremisticky teoretickym principum...

Vase "neni to problem" a problemu znalych "je to problem" je proste flame. Tim bych diskuzi ukoncil, nikam nevede..

Ony ty "extremisticko teoreticke principy" maji svůj důvod: bezpečnost... ale to je asi zbytečné tady rozebírat

Říká se tomu "security by obscurity" a při aplikaci takovýchto principů náklady v běžných případech řádově převyšují benefit bezpečnosti. Pokud byste měl neomezené prostředky, je to super. V životě je však všechno souhrn kompromisů.

Na vygenerování klíčů pro své zaměstnance je potřeba ve firmě opravdu uvolnit "neomezené" prostředky

ja nevim jak to mate vy, ale nam se do systemu pripojuji pobocky, klienti, manageri, auditori.. predstava, ze bych neakceptoval jejich klice je pri nejmensim legracni :)

když pominu klienty (ale i tam je tohle na pováženou), kde si ti ostatní ty klíče opatřili? Jsou to snad zaměstnanci firmy, to si jako donesli vlastní klíče na klíčence nebo co? Pokud vám na datech nezáleží, pak je to jedno, ale přece není problém pro někoho, kdo se mi přihlašuje do systému, klíč napoprvé vygenerovat... Stejně se to bude muset pro blacklistované klíče udělat

na to jsou jen 3 pismena b2b ;)

Ano, v tomto případě by to mohlo být opodstatněné, to uznávám I když... ale to je na delší debatu, hlavně, že máte klíče v blacklistu

To pochopitelně ne. Ale to máte jedna blbost k druhé a náklady letí nahoru.

Přidělováním klíčů nezískáte v normálním případě ani zblo bezpečnosti navíc - a musíte každému uživateli fyzicky klíč doručit.

Můžete si o tom myslet co chcete, ale praxe je prostě taková, že se používají vlastní klíče uživatelů.

Panebože, na jedné straně takový haló, tisíce klíčů provařených, blhví kolik systémů otevřených blabla.... a pak vy tady napíšete "Přidělováním klíčů nezískáte v normálním případě ani zblo bezpečnosti navíc"

Možná to tak chodí u vás, já bych si od vás jakožto zákazník systém administrovat nenechal a tím nenarážím jenom na tuto diskuzi, ale u naších zákazníků je na bezpečnost kladen důraz a kór v dnešní době.

>> Možná to tak chodí u vás, já bych si od vás jakožto zákazník systém administrovat nenechal a tím nenarážím jenom na tuto diskuzi, ale u naších zákazníků je na bezpečnost kladen důraz a kór v dnešní době.

Víte, to je dnešní fanatismus. Z lidí se vytrácí zdravý rozum - a těch, kteří dovedou a jsou ochotní sami posoudit míru rizik a přínosů, těch je minimum. Rozhodně netvrdím, že na bezpečnost se nemá hleděl. Ale stojím si za tím, že v dnešní době je otázka bezpečnosti nafouknutou bulblinou.

Dám Vám příklad: malárie je nebezpečná choroba. Pokud nejste očkován, tak i při včasném podání antimalarik Vás může tato nemoc zabít. A přesto - pokud nejedu do Afriky, nebudu se nechávat proti malárii očkovat, neboť to stojí úplně zbytečné peníze a přináší to negativní vedlejší účinky. A to i s vědomím toho, že mohu v tramvaji potkat někoho nakaženého a sám se nakazit.

Vaše výkřiky typu "...takový haló, tisíce klíčů provařených, blhví kolik systémů otevřených blabla" (anebo podobné pseudoproblémy s Y2k blahé paměti) Vás možná staví do role toho "lepšího" a možná i populárnějšího - ale jen do doby, než se nad tím ostatní opravdu zamyslí.

Stát si za tím můžete, v tom vám nikdo nebrání. Pokud si myslíte, že v dnešní době celosvětové informační globalizace je otázka bezpečnosti nafouknutou bublinou, tak je jen otázkou času, než se na vlastní kůži nepříjemně překvapíte o opaku.

Váš příklad značně pokulhává. Dneska vám může nabourat systém člověk třeba z té afriky.

To nebyly moje výkřiky. My máme/používámě/nabízíme systémy postavený na jiných distribucích, než Debian a nepoužíváme bůhvíjaké klíče bůhvíodkud.

Co to je za nesmysl? Standardně, pokud nepotřebujete mít pod kontrolou ověřování totožnosti uživatele, tak se standardně používají uživateli dodané pubklíče. Zdá se mi, že Váš názor je trochu mimo realitu (ačkoliv v čistě ideové rovině se proti tomu nic říct nedá).

nejsme webhosting, jsme firma se zamestnanci, klienty, managementem, pobockami - toto je ciste prakticka hladina :)

Asi to byla reakce na mě... takže když má firma vrátnici, kde stojí security boys a hlídají, jestli se nesnaží do podniku proklouznout myška, je to v pořádku... ale přístup k firemním aplikacím až tak řešit nebudou, vždyť tam jde "jen" o data, tak co... pochopitelně, že jde o ověřování totožnosti uživatele (myslím firmy, ne nějaký webhosting)

me to prislo trochu zmatene.. zavedl bych propojovaci cary mezi temi reakcemi.. je v tom chaos...

Tohle mě taky štve... a další věc, která mě neskutečně nadzvedává je to, že tady nejsou schopni nějak explicitně označit nové příspěvky, ať si to člověk může vyhledat... zkoumat to jenom podle barvy fontu, to je fakt na infrarkt, hlavně v delších diskuzích

Nové příspěvky jsou - podle mého názoru docela výrazně - odlišeny tlustou horizontální linkou. U již přečtených je tato linka velmi tenká.

Kromě toho si můžete diskuzi seřadit nikoli po vláknech, ale chronologicky. Tím se nejnovější příspěvky zobrazí hned u sebe.

Oddělení tlustou čárou ale opět znamená nutnost vizuálního procházení celé diskuze a hledání. Navíc pokud si dám seřadit příspěvky podle data, dojde ke znovunačtení celé diskuze a nové příspěvky už nejsou jako nové. Nehledě na to, že v tomto případě nevím, na co nový příspěvek reagoval.

Myslel jsem spíš textové označení, něco jako (Nový) v hlavičce, aby bylo možno jej snadněji vyhledat. Snad by to nebyla až taková práce a zvýšilo by to komfort při čtení

Milióny open-source operačních systémů postiženy bezpečnostní chybou? To zni docela vesele.. Navrhuju udelat seznam.

Jen se o tom ještě neví, bo je to uzavřenej arogantní systém.....přesto jsem je nucen kvůli odporným praktikám Makrošrotu používat....grafický karty na 100 % využiji jen pod arogantními Wokny (AVIVO)

Takze ak som to spravne pochopil, ide o chybu pri generovani klucov pomocov OpenSSL kniznice pod Debianom (a v "milionoch" odvodenych.) Naviac o chybu opravenu pred-predvcerom.

O com teda hovori ten nadseny titulok?

O tom, že autor je pííííp, kterej neví, o čem píše, ale musí si plivnout na OSS?

No vážení, toto je tak trochu poplašná zpráva. Jak již někdo psal, je to problém upravené verze knihovny openssl v Debianu. Po updatu se nabídne automatické přegenerování postižených klíčů, takže žádná tragédie pro běžné lidi. Horší je to samozřejmě pro administrátory HA systémů.

Více http://www.root.cz/zpravicky/vazny-bezpecnostni-problem-s-openssl-v-debianu/

Jednoznačně se shodneme, že to chlapci zpískali. Ale zdůvodnění, že je to open source, se nelze než zasmát. Zasvěcení si o kvalitě SW stejně nědělají žádné iluze, ať už je je pod SW nálepka IBM, MS nebo komunity.

Na závěr historku k dobru - reportovali jsme nějaké buffer overflow jedné z největších IT firem na světě s draze placeným supportem. S přesným popisem, kde mají chybu. První krok - důkladná kontrola, že se s nimi o tom můžeme vůbec bavit. Druhý krok - vyžádání nesmyslné a nerelevantní dokumentace prostředí s požadavkem ji dodat v krátkém čase. Třetí krok (kyž stihnete druhý:)) - čekání. Dále jen čekání a čekání...

Oracle?

Heh, taky mne okamžitě napadl Oracle... Kdo to nezažije na vlastní oči, ten něčemu takovému snad ani nemůže uvěřit...

Moje zkušenost je někdy z 2002, ale dost pochybuji, že by od té doby změnili politiku/firemní kulturu...

vo windows sa pouzivaju ake ssl kniznice?

přeci ty samé

Mno tak dost pochybuju ze nejakej blb nainstaluje naprikad do IISka Open SSL. Nicmene to jeste neznamena ze je nekdo nepouzije na Windows s Apachem, ale jak vime Apache i Open SSL jsou prave zminovane Open Source aplikace....

Takových chyb jsou v open source systémech zcela jistě tisíce - stejně jako ve Windows. Jen se ptám, když open source má tu ohromnou výhodu, že "každý si kdykoliv může zkontrolovat zdrojáky", proč to trvalo dva roky? Není to tím, že ty zdrojáky nikdo nekontroluje, každý se spoléhá na to, že to "nekdo" udělal? Nebo se nové knihovny prověří, změny ale už ne, knihovny jsou přece dávno OK? Jak to je?

vzhledem k tomu kolik je kódu je nemožné všechen prověřit. V tomto případě to bylo tak, že "nikdo" neprověřil změny, i když to taky není pravda, protože nakonec je někdo prověřil a změna byla opravena. Představte si, že by šlo o uzavřené řešení, to by se na to nemuselo přijít ještě třeba dalších 5 let.

Výhoda "může prověřit" je v reálu jen marketingová než reálná.

Objevení chyby bych kategorizoval na dvě části:

1. když chybu objeví někdo náhodou a postará se o nejlepší cestu nápravy

2. když někdo se na hledání takových chyb zaměří

Pokud jde o chyby objevené náhodou, daly by se ještě rozdělit na ty, které se dají lehce objevit používáním programu a na ty, k jejichž objevení byla potřeba vidět zdrojový kód (neboť by prokázání a ohraničení empiricky bylo zdlouhavé. Chyby objevené náhodou a "čistou duší" se dají opravit rychle a relativně beze škody, pakliže administrátoři systémů zareagují.

Horší sorta jsou cíleně odhalené chyby. Dobře školený programátor může takovou chybu objevit a zneužívat ji dost dlouhou dobu. Roky může trvat jeho řádění aniž by si toho někdo všimnul. Pro tuto situaci považuji opensource za relativně nebezpečný způsob distribuce softwaru.

Je na každém, aby si zvážil, která rizika jak hodnotí. Ze svojí praxe jsem zažil především útoky na linux systémy a především automatizovanými nástroji na nově objevené a zveřejněné exploity. V tu chvíli jsem opensource proklínal.

Co sa tyka cielene odhalenych chyb- zabudli ste pripomenut, ze akekolvek nevhodne spravanie sa da lahko debugovat a rychlejsie sa pride na to, v com je problem. Pritom pri zatvorenom kode mozete registrovat zle spravanie a nlen tazko odhalujete pricinu.

Ked hovorime o plusoch a minusoch, hovorme o vsetkych.

Mno to neni uplne tak pravda.... rekneme priklad Firewallu... Pri nastavovani nejakeho pravidla zjistim ze i presto mi ty pakety ktere ma blokovat propousti... u Open Source muzu vlezt do zbastleneho kodu a zkusit to tam najit, jiste to i zkusenemu programatorovi zabere nejakej ten cas a to i v pripade ze se v kodu da celkem slusne orientovat.... pak si chybu opravi znovu zkompiluje a vesele pouziva... az si toho vsimne nekdo dalsi tak na to teprve treba upozorni a treba ani nedokaze rict kde ta chyba presne je a pak stejny proces musi udelat vyvojar daneho Firewallu... stejne tak to ale mohl nahlasit uz ten prvni co tu chybu objevil vcetne navrzene opravy. Pak je cely proces relativne rychly.

Pokud ale zjistim chybu ve Firewallu ke kteremu nemam zdrojove kody, jen tezko zjistim kde v kodu je spatna podminka kdyz ji nevidim, a uz vubec ji nemuzu upravit... muzu sice zeditovat exac a chybu vyresit primo v dissambleru, ale to asi nebude prave idealni reseni pro ostatni (obzvlaste pokud je aplikace castecne polimorfni). Proto jedinym rozumnym resenim je tuto chybu reportovat prislusnemu autorovi, ten provede par testu podiva se do zdrojovch kodu a vyda opravu.

Existuje jeste treti sorta lidi, ktera chybu objevi nebo se o ni nekde dozvi a pak o ni udelaji kompletni rozbor a ukazku zneuzitelnosti, idealne s kusem kodu pro exploit a pak poukazuji na to jak jsou dane systemy zranitelne. Defakto tak vsem administratorum jen pridaji na neklidu nez bude dostupna aktualizace. Nikomu jinemu krom utocniku takove jednani neprinasi zadne ovoce. A co si budeme nalhavat chyby jsou jak v aplikacich komercnich tak i nekomercnich. Takze rozdil Otevreny kod / zavreny kod neni prilisny rozdil. Ve zdrojaku si muzu chybu opravit a muzu si ji sam i najit... to ze si ji muzu sam i najit je plusem i minusem soucasne. Tu chybu tam totiz muze najit i nektery skuseny programator ktery hleda zamerne chybu ve zranitelnosti v dane aplikaci. Existujici oprava jeste neznamena vyreseni problemu. Co uz jsem videl hacknutych phpBB for a nelze mluvit o tom ze by zrovna programatori phpBB na aktualizace nejak kaslali.... zaverem se da rict ze vzdy to je na koncovych uzivatelich (at uz administratorech nebo jen uzivatelich)....

Nejde o chybu v OpenSSL, ale o problem v debian OpenSSL, co je zasadny rozdiel. Tato situacia nastala, ked sa chlapci z debianu rozhodli, ze bude najlepsie ak zacnu menit vsetky open source moduly na svoj obraz bez akejkolvek znalosti veci a bez toho, aby tieto zmeny nahlasovali povodnym spravcom modulov. Tak sa stalo, ze jeden z developerov debianu Kurt Roeckx objavil inak vynikajuci debugger a profiler valgrind a zacal s nim testovat OpenSSL v nepochybne uprimnej snahe ho vylepsit. Ked mu valgrind reportoval, ze OpenSSL funkcia ssleay_rand_add v module openssl/crypto/rand/md_rand.c neinicializuje buffer, rozhodol sa zakomentovat dva riadky MD_Update volania, ktore posiela nahodne generovane data do poolu. Neskutocny fix cloveka, ktory nevie, co robi.

Aby open source komunitu a ludi od OpenSSL este viac nadvihlo zo stolicky, treba dodat, ze chlapci z debianu nahlasili pripravovany patch OpenSSL teamu, ale urobili tak do nespravneho mailing listu. Ulf Möller z OpenSSL odporucil Kurtovi zakomentovat riadky, ale iba pre ucely debuggingu: ,,If it helps with debugging, I'm in favor of removing them." Napriek tomu debian team zaradil fix do oficialneho distra.

Poucenie z celej kauzy je, ze nerobim zmeny v kode ak si nie som isty, co robim a vsetky zmeny posielam do upstream repozitarov povodnym spravcom. Velmi mizernu politiku v tomto ma aj FreeBSD team, ktory zvykne menit veci bez konzultacii s upstream hnutim.

Napriek tomuto pruseru zostava generovanie nahodnych cisiel v Linuxe o niekolko tried kvalitnejsie nez vo Windows. Nedavno objaveny megapruser s Dual_EC_DRBG, ktory bol ako sucast standardu SP 800-90 vlozeny do Vista SP1, umoznuje odhadnut generovane cisla a vytvorit tak backdoor do systemu.

Presně koneckonců na rootu bylo vše popsano a přesně o co jde.Na ŽIVĚ vygenerovat článek i když opisujou bez faktickejch chyb je prakticky nemožný,zajímalo by mne jak to dělaj....

Je to speciální metoda psaní čehokoliv. Jmenuje se "OPSAL A CHYBAMI OPATŘIL" a na Živě ji používají velice často.

32 tisíc kombinací? To je hrubou silou vyzkoušeno za 1 sekundu :) takže vlastně úplně otevřené. No potěš...

Takové sračce-systému, co zplácává dohromady hrstka bambulů, bych určitě svěřil svá data....

Kdo ví, o čem se ještě neví. xD

Toto nie je reakcia na fly2, ale na vsetky chobotiny, ktore boli napisane v tejto diskusii.

1. Co sa stalo?

- Zmena kodu v jednom z modulov OpenSSL v debian sposobila, ze kluce generovane tymto modulom maju slabu mieru entropie a daju sa uhadnut. Tyka sa to vsetkych klucov generovanych v debian, cize SSH keys, OpenVPN keys, DNSSEC keys, X.509 certifikatov a klucov, ktora sa pouzivaju pri TLS/SSL session.

2. Ake distra su postihnute?

- debian Etch, Lenny, Sid a derivaty. Ziadne ine distro pouzivajuce OpenSSL postihnute nie je, pretoze OpenSSL ako taka je v poriadku. (relativne :) ).

3. Su postihnute kluce generovane GnuPG a PGP?

- Nie su. Ani na debiane, ani inde.

4. Ak mam RSA/DSA kluce generovane na Linuxe/Windows/BSD, mozem ich bezpecne pouzivat na postihnutom debiane?

- Bohuzial nie, Tieto kluce su automaticky kompromitovane a mali by sa vyradit, pretoze cez DSA attack sa da vytiahnut privatny kluc.

5. Musim si kupit novy SSL certifikat?

- Nie. Ak mas validne CSR, vsetky Certifikacne autority ti vydaju novy certifikat bezplatne po dobu zivnostnosti certifikatu. Verisign oznamil, ze vyda nahradu bezplatne, ak o nu poziadas do 30. juna.

6. Moje bankove konto je v p r d e l i

- Uplna chobotina. Banky nepouzivaju OpenSSL na generovanie klucov. Rovnako nepouzivaju ziadne linuxove distro out-of-the-box.

7. Toto je strasna IT tragedia, vacsia nez Cernobyl.

- Uplna chobotina. Debian ma pod 3% serveroveho trhu.

8. Moj debian server je v nebezpeci, vsetci hackeri idu po mne

- Uplna chobotina. Updatuj debian OpenSSL na najnovsiu verziu, regeneruj kluce a business as usual.

Pomocí toho sračka-systému tvoje data samozřejmě uchovávány jsou

Je to samozřejmě velmi kritická chyba, ale snad to správci poopravují. Aspon se se záplatou nečeká na druhé úterý v měsíci jako u konkurence

Mno na kritické chyby se u MS taktéž nečeká na pravidelný interval. Chyby tohoto kalibru se v MS dostávají do Windows Update okamžitě. Těžko se dá posoudit, co je lepší a co horší.

U Windows často nevíte detaily o chybě anebo víte jen zevrubný popis bez detailů. A do kódu se nepodíváte, nemůžete chybu "domyslet" anebo z ní vyjít dál. Ruku na srdce, u MS se na exploity neobjeví _okamžitě_ utilitky, které tu exploitovatelnost předvádějí anebo umějí zneužít. U linuxu se taková utilitka objeví prakticky okamžitě. U windows existují automatické aktualizace. Na linuxech musí nejčastěji správce reagovat ručně.

U linuxu zase můžete argumentovat tím, že otevřenost kódu právě přispívá k samoočistnému procesu, k tomu, že kód je opravdu kvalitní.

Pokud mám mluvit za pohled komerčního administrátora, který se administrací živí, jsou pro mě tyto problému u windows "výhodnější". Méně práce, více automatizace, když zapomenu, automatické aktualizace zaberou. Stojí mě to méně času a práce.

nevím,jestli se to k Vám doneslo ale linuxové distribuce též mají automatické aktualizace....a jak kolega zmínil, najde se chyba a je vydána oprava, ještě týž den jsem měl zmíněnou aktualizaci dostupnou, u win bych na něco podobného nemohl ani pomyslet

Tak to rychle zacni myslet

Každý, kdo je blbější než já, nechť klikne na "Nesouhlasím", případně okomentuje můj příspěvek.

A ty radsej prestan

Akykolvek dalsi komentar z tvojej strany na urovni hadajuceho sa stredoskolaka ignorujem...

Ale zde se zdaleka nejedná jen o fixnutí chybného kódu, je potřeba vyměnit naprosto veškeré klíče, které tento chybný kód vygeneroval.

Fix zabrání jen zneužití této chyby u nového generování klíčů, ale nemůže nijak opravit používané (nebezpečné) klíče vygenerované za poslední dva roky!!

Toto je extrémně kritická chyba nedozírných následků... Nikdo ani netuší kolik systémů může být kompromitováno a kolik data za 2 roky ukradeno.

Now slightly more awesome!

Precitaj si (aj v tejto diskusii), ako je na tychto systemoch riesena aktualizacia. Teraz nehovorim o kode.

Ale on nemluví o aktualizacích, ale o už vygenerovaných klíčích ty de...le. A ty žádná aktualizace nevygeneruje a nevymění.

"Akykolvek dalsi komentar z tvojej strany na urovni hadajuceho sa stredoskolaka ignorujem... "

Ale samozřejmě, že se při aktualizaci vygenerují klíče nové A pokud nějaký admin používá Debian na serverech, jistě ví, co má dělat, ty de...le

To je samozřejmě hloupost. Přegenerovat certifikáty už podepsaná a používané třeba Apachem ten patch prostě nemůže udělat. Stejně tak jako tisíce certifikátů, které se někde na Debianu/Ubuntu vygenerovaly a používají se jinde.

Je to kritická chyba, kde de-facto jakákoliv "zabezpečená" transakce během posledních 2 let mohla být odposlechnuta (a stále může být!), útočníci mohou mít hesla do emailů hostovaných na Linuxu, bankovních systémů, čísla kreditních karet, prostě cokoliv. Na Linuxu bylo (a je) HTTPS potencionálně stejně nebezpečné jako HTTP.

A nedá se to opravit jen patchem, chce to ručně prozkoumat veškeré klíče a žádnému nedůvěřovat. Patch řeší jen generování nových. Staré se nedají jen tak zneplatnit, zvláště při požadavku na privátní / public klíče. Musí se vyřešit i jejich distribuce, případ od případu.

NAvíc nikdo ani netuší kolik systémů může být kompromitováno.

Now slightly more awesome!

"To je samozřejmě hloupost. Přegenerovat certifikáty už podepsaná a používané třeba Apachem ten patch prostě nemůže udělat. Stejně tak jako tisíce certifikátů, které se někde na Debianu/Ubuntu vygenerovaly a používají se jinde."

Tu už je na správcích systému, pokud používají nějaké distro, založené na Debianu.

"Je to kritická chyba, kde de-facto jakákoliv "zabezpečená" transakce během posledních 2 let mohla být odposlechnuta (a stále může být!), útočníci mohou mít hesla do emailů hostovaných na Linuxu, bankovních systémů, čísla kreditních karet, prostě cokoliv. Na Linuxu bylo (a je) HTTPS potencionálně stejně nebezpečné jako HTTP."

Kecy kecy, plác plác. Na to, že ten bastl linux skoro nikdo nepoužívá, jsou ty tisíce bakovních systémů, kreditních karet atd. atd. poněkud "nadnesený" počet Navíc v enterprise oblasti se spíše používají řešení založené na SLES, RedHat a těch se tohle netýká.

"NAvíc nikdo ani netuší kolik systémů může být kompromitováno."

Měli by to tušit správci těch systémů. Pokud v tom mají borel, je to vina jejich, nikoliv Linuxu

http://www.computerworld.com.au/index.php/id;1075412379;fp;4194304;fpid;1;pf;1

"A nedá se to opravit jen patchem, chce to ručně prozkoumat veškeré klíče a žádnému nedůvěřovat. Patch řeší jen generování nových. Staré se nedají jen tak zneplatnit, zvláště při požadavku na privátní / public klíče. Musí se vyřešit i jejich distribuce, případ od případu."

Debian/Ubuntu to tak riesi:

Debian and Ubuntu have now released a blacklist of affected keys which are not allowed to login, and this blacklist is used on up to date Debian and Ubuntu machines. Other systems, such as SUSE, currently do not have a blacklist.

Opět hloupost. Private / public klíče pro SSH relace, které si vygeneruji pro sebe a klienty, ty nikde nejsou "registrovány", nemohou být tedy ani v žádném blacklistu.

Prostě Debian to posral (a distra na něm založená, jako Ubuntu, DSL, Xandros, Knoppix, Linspire, atd.), jedná se o nejhorší bezpečnostní chybu v dějinách IT :(

Now slightly more awesome!

Ehm, jeden by předpokládal, že člověka s tak vysokým IQ jako se chlubíš, by mohlo napadnout tak primitivní řešení, jako dát všech cca 32 tisíc možných klíčů na blacklist, takže je úplně bezpředmětné, jestli byly nebo jsou někde registrovány.

IQ je velicina, ktora sa prilis precenuje, boli desiatky masovych vrahov, ktory mali napriemerne IQ a urcite existovali desiatky ludi ako filmovy Forrest Gump, ktori dokazali v zivote vela, napriek vyske svojho IQ, proste "Nezalezi na dlzke, ale na technike"

V případě toho, jehož jméno se nevyslovuje, došlo ke skloubení nejvyššího IQ a nejdelšího penisu na světě, společně s nejmodřejší prostatou na světě.

Tomu říkám ukázkový záchvat hysterie Kolik konkrétních "posraných" klíčů vlastníte vy - pane Hulán? Jako odborník přes analýzu IT segmentu byste mohl být objektivnější. Já taky nekřičím, že chyba (exploit) IE 6 umožňující převzetí kontroly nad libovolným strojem s Windows existovala dva roky než ji MS opravil. A to si nedovedete představit kolikrát víc bylo tehdy postiženo počítačů (a kolik takových exploitů ještě stále existuje a není ani nebude opraveno) než je teď. Ale vy zkrátka víte, kdy přivřít oči a kdy naopak začít hlasitě řvát

"Opět hloupost. Private / public klíče pro SSH relace, které si vygeneruji pro sebe a klienty, ty nikde nejsou "registrovány", nemohou být tedy ani v žádném blacklistu."

No, urcite niekde su, lebo po aktualizacii ssh sa nedalo pripojit na NX Server, az po znovu-vygenerovani kluca. Neriesim ako, neriesim preco, neriesim kde su, ale black list funguje, zda sa.

"Prostě Debian to posral (a distra na něm založená, jako Ubuntu, DSL, Xandros, Knoppix, Linspire, atd.), jedná se o nejhorší bezpečnostní chybu v dějinách IT :( "

Chcelo by to doveryhodny zdroj, inac je to len Vas subjektivny nazor a potom to nie je nic ine, ako tvrdenie, ze "Zlta je najskaredsia farba na svete"

Ale prosim vas, klice generovane rucne pro klienty tuto chybu nemaji, jedna se pouze o automaticky vygenerovane klice pro servery, ktere dany klic nabizi.

Klic si vygenerovat muzete kdekoliv a kdekoliv ho pouzivat. Cili pokud mate vygenerovane rucne pary klicu, ktere nastavujete na vase stroje, at pro rucni nebo automaticke prihlasovani v ramci nejakych skriptu, tak jste z obliga.

Chyba je jiz opravena, vcetne zajisteni vygenerovani novych klicu. Nebo mame taky jednou za cas kricet, ze MS mel nektere chyby, ktere byly zname vice nez 2 roky nez je zaplatoval?

"Nebo mame taky jednou za cas kricet, ze MS mel nektere chyby, ktere byly zname vice nez 2 roky nez je zaplatoval?"

Tato ma len rok a kusok

http://secunia.com/advisories/24245/

Nejhorší bezpečnostní díra v dějinách IT je samotná existence Windows a software od firmy Microsoft obecně.

Kdysi jsem byl taktéž silně zblbnutý Microsoftem a jeho lhaním, ale naštěstí jsem se z toho už dávno vyléčil. Totéž přeji všem milovníkům Microsoftu. Přináší to výhody pro vás i pro vaše okolí. Z pohledu okolí člověk přestane vypadat jako hloupý šašek. Uvnitř je pak vyrovnanější a není už tolik posedlý myšlenkou, že zvládnutí jednoho béčkového klikacího systému, který patří buď na herní konzoli nebo raději nikam, představuje skutečné znalosti. I když, pravda, pro psaní blogu plného nevraživých komentářů o všem, co autor není schopen pochopit, případně pro vedení flamewarů všude možně, mohou být takové „znalosti“ postačující...

Nikdo samozřejmě netvrdí, že by nemohlo jít o největší problém v historii Debianu. To ale nestačí k vynášení obecných soudů o Linuxu, natož o systémech typu Solaris nebo OpenBSD. Srovnání jakéhokoliv UNIXu s Windows, pokud jde o bezpečnost, je jako srovnání Rolls-Royce s Trabantem. Takto zásadní selhání lidského faktoru samozřejmě snadno srazí k zemi Rolls-Royce i Trabant. To ale na jejich obecných vlastnostech nic nemění.

>> Nikdo samozřejmě netvrdí, že by nemohlo jít o největší problém v historii Debianu. To ale nestačí k vynášení obecných soudů o Linuxu, natož o systémech typu Solaris nebo OpenBSD.

Pochopitelně to mění dost pohledů na věc. Například se ukazuje, že otevřenost kódu nepřináší výhodu času odhalení takto kritické chyby. Dále tento incident vede k zamyšlení, kolik lidí o této chybě už dva roky ví a dva roky ji zneužívají. Můžeme jít s myšlenkou ještě dále a klást si otázku, jak dobudoucna rozpoznáme, že se jedná o chybu a ne záměr? Protože ani toto nelze nikdy úplně vyloučit.

Nechci vynášet žádné soudy - modely otevřeného i uzavřeného kódu mají každý svoje přednosti a slabiny. Jen rozumně uvažující čtenář by se měl zamyslet nad reálným dopadem v různých kritických situacích.

>> jak dobudoucna rozpoznáme, že se jedná o chybu a ne záměr? Protože ani toto nelze nikdy úplně vyloučit.

Nemůžu si pomoci, ale pro tyto "kritické situace" mi stále připadá lepší otevřený kód - chyba se dá v kódu lépe najít. Připadá mi to, jako srovnání socialismu s demokracií - někteří říkají, že za socialismu byl větší pořádek... Nebo to bylo tím, že se o nepořádku (radši) nevědělo ?

>> Nemůžu si pomoci, ale pro tyto "kritické situace" mi stále připadá lepší otevřený kód - chyba se dá v kódu lépe najít.

To je právě diskutabilní. Nechme stranou možnost záměrného vyrobení této chyby - toto riziko je podle mě stejné u otevřeného i uzavřeného kódu. Možná u uzavřeného ještě vyšší, neboť méně lidí má možnost chybu najít.

Pokud se však jedná o omyl, uzavřený kód nese jednu výhodu. A to totiž to, že na mnoho chyb by zaměřený se hacker empiricky nepřišel. Pochybuji, že by někdo zkoumal nahodilost generovaných klíčů z komerčního softwaru. Vyčíst to z kódu má však tuto možnost o hodně vyšší.

Reálně nejde totiž o to, kolik a jakých chyb v softwaru je. Reálně jde o to, jak moc jsou ty chyby zneužitelné. A pochopitelně model distribuce softwaru toto ovlivňuje.

Za socialismu hodně věcí bylo ještě ve větším bordelu než je teď. Ale nevědělo se o tom - beze sporu. Na druhou stranu, dokud Nova neodvysílala to, že mladí lidé podlézají železniční troleje jako adrenalinový sport, nebylo tolik takových úrazů. Obě tvrzení jsou pravdivá.

A v případě softwaru platí také obojí. A je na každém z nás, aby vyhodnotil, co z toho považuje za důležitejší. Mnoho lidí zde se rozhoduje především srdcem, tím, že open source bývá hodně lidem sympatičtější. Argumenty pak ale často vypadají spíš jako dodatečná obhajoba vlastního rozhodnutí - než argumentování pro a proti.

"Pochybuji, že by někdo zkoumal nahodilost generovaných klíčů z komerčního softwaru".

Toto je jedna z najcastejsie skumanych veci pri bezpecnostnych auditoch, ale aj pri vedeckych studiach. Generovanie pseudonahodnych cisiel u Windows nedavno skumali traja izraleski vedci Leo Dorrendorf, Zvi Gutterman a Benny Pinkas. Vysledky boli pre Windows pomerne katastrofalne.

Cryptanalysis of the Random Number Generator of the Windows Operating System:

http://eprint.iacr.org/2007/419.pdf

Reakce pod tímto příspěvkem se již nevětví

„Na druhou stranu, dokud Nova neodvysílala to, že mladí lidé podlézají železniční troleje jako adrenalinový sport, nebylo tolik takových úrazů.“

Nebylo, nebo se o nich zase jenom nemluvilo? Směl snad někdo veřejně kritizovat tehdejší ostrahu nádraží nebo zabezpečení vlaků? Abych řekl pravdu, zrovna tyto případy mě příliš nešokují. Řeknu to teď velmi ošklivě. Je to jakýsi jednoduchý evoluční mechanismus, přírodní výběr. Jedinci trpící lidskou blbostí nepřežjí, zatímco zbytek populace ano... Za několik desítek let pak možná nepoleze na vagony nikdo.

„Mnoho lidí zde se rozhoduje především srdcem, tím, že open source bývá hodně lidem sympatičtější.“

Řekl bych, že toto platí jen pro menšinu lidí. U většiny jde spíše o otázku UNIX versus Windows než o otázku open-source versus něco jiného. Já jsem měl například v oblibě Irix (closed-source), když ještě (produkčně) existoval. Solaris jsem považoval za nejpokročilejší systém na světě i v době, kdy ještě nebyl open-source. Když si vzpomenu na stroj s Irixem, na kterém se střídali 24 hodin denně uživatelé, aby stihli dokončit své 3D modely, a zároveň tam běžel webový a mailový server, musím říct, že Irix byl prostě dobrý. Uptime byl cca rok a půl, potom shořel zdroj... To bylo prosím pěkně v roce 1994. Co tehdy uměly Windows? Stěží pár dní uptime a grafické prostředí hluboko pod úrovní IRIXu. Prostě béčkový systém určený pro levné béčkové stroje. Dnes už Windows nejsou určeny pro béčkové stroje, protože platforma Intel se jaksi vyšvihla, asi díky Windows... Ale že by už nebyly béčkový systém, tím si nejsem tak zcela jistý.

Není to tedy ani tak sympatie či antipatie, jako spíš celková vyspělost systému, která se odráží ve spoustě praktických „detailů“:

1) V UNIXu mám okamžitě k dispozici SSH (včetně přesměrování X) a celou plejádu nástrojů pro vzdálenou správu.

2) V UNIXu spravuji a aktualizuji veškerý software v celém systému naráz jedním příkazem. Nemusím hledat každý jednotlivý program zvlášť.

3) V UNIXu mám k dispozici pořádný terminál a pořádný shell. (Ach ano, Visty už to také mají...)

4) UNIX je od roku 1972 samozřejmě multi-user. Ještě Windows XP měly multi-user režim záměrně zablokovaný. Bez multi-user nemůže existovat korektní vzdálená správa.

5) Linux umí bootovat z víc než šesti různých souborových systémů. Windows zpravidla z jednoho... Žádný z linuxových souborových systémů netrpí fragmentací tolik jako NTFS. (A to jsem ještě nezmínil legendární ZFS na Solarisu.)

6) Srovnám-li podporu pro sítě, Linux (resp. BSD) jednoznačně vede. Nepřeberné množství možností pro routing, shaping, policing, nejrůznější filtry, virtuální zařízení a další vymoženosti prostě nemají u Windows obdoby.

7) UNIX má ihned k dispozici distribuované souborové systémy. U Windows by si musel člověk hodně připlatit, aby měl aspoň jeden.

8) Správa paměti. Platforma Intel 32-bit podporuje 64 GB fyzické paměti (a 4 GB na proces), nikoliv pouze 3,2 GB nebo kolik... Argument, že 64 bitů to jistí, je sice správný, ale právě tyto detaily svědčí o kvalitě návrhu.

9) V UNIXu nikde nenajdu obrovský binární registr, který mi místo (zamýšleného) pořádku přinese nanejvýš několik děsivých hodin s regeditem v nouzovém režimu.

10) Základní zásada při vývoji UNIXu je ničím neomezený uptime. Nevím, na jakých zásadách stojí Windows, ale uptime to není... (Pohádkám o snadnosti použití taktéž nevěřím.)

11) Lze se jen dohadovat, do jaké míry Windows využívají nových vlastností toho či onoho procesoru pro urychlení běhu kernelu. U Linuxu či Solarisu se nikdo doadovat nemusí. Stačí správné nastavení kompilace.

Takhle bych mohl pokračovat dlouho. Samozřejmě je to neobjektivní. Pro někoho třeba všechny zmíněné vlastnosti postrádají smysl, pokud na tom systému nemůže okamžitě spustit nějakou hustou nejnovější hru. DTPák zas řekne, že tam nejde Adobe. (Otázka je, kolik feature requestů a podobných hrdinských činů v této záležitosti podnikl, když už si stěžuje...)

Takže nějaký obecný recept na „nejlepší“ systém neexistuje. Své sympatie prostě zaměřuji tím směrem, kde vidím méně nešvarů. To je celé.

Reakce pod tímto příspěvkem se již nevětví

Vyhoda open-source, ktoru tu nikto nespominal je otvoreny kod, napr. kniznic pri vyvoji aplikacii. Da sa niekolko nasobne rychlejsie prist na to ako veci funguju a preco tak funguju. Povazujem to za zasadnu vyhodu a urcite z casu-na-cas sa pri patrani v kode najdu nejake bugy, takze to moze mat aj pozitivny vplyv na bezpecnost.

Reakce pod tímto příspěvkem se již nevětví

samozrejme, ze se nevygeneruji. to je jako tvrdit, ze kdyz vyrobce skodovky zmeni vyrobni postup a misto cerpadla typu XX zacne montovat cerpadlo typu YY, tak se automaticky to cerpadlo vymeni u uz vyrobenych skodovek . nikoli, jenom u tech, ze kterymi clovek zajede do servisu a necha si ho vymenit.

Asi jsem byl špatně pochopen... nemyslel jsem automaticky, ale správci systémů... od toho tam snad jsou ne?

ale my vime, ze tu od toho jsme.. jen nas stve, ze nam patch debianu pred dvema lety pridelava praci a vrasky dnes :)

Nojo, stát se to může, všichni jsme holt jenom lidi

Chlape kdyz o necem pisete tak byste mel tusit o cem pisete. Rozdil windows vs linux je v aktualizacich absolutne nulovy, s tim rozdilem ze balickovaci systemy na linuxu resi update software komplexne. Na windows musite naopak rucne resit to kdyz vam fy XY vyda novou verzi aplikace Z.

Spravuji kolem patnácti windows serverů a přes dvacet linux. Myslím, že vím dobře, co píšu.

Na windows serveru nemám potřebu updatovat nic kromě systému a microsoft aplikací (což mi řeší Microsoft Update) + jednu, dvě aplikace třetích stran.

Updatovací mánii GNU distribucí moc nechápu.

ta Updatovací mánie vychází z jednoduchosti updatování na linuxu. Klidně můžete updatovat pouze systém a dvě tři aplikace i na linuxu.

Doplnění z jiného serveru:

"Inak čo sa týka opráv, tak pri aktualizácii samotnej OpenSSL knižnice sa na *buntu distribúciách zároveň hneď vygenerujú všetky kľúče nové a tiež sa nainštaluje aktualizácia openssl-blacklist ktorý slúži na detekciu slabých certifikátov."

Takže také automatizace :)

> Mno na kritické chyby se u MS taktéž nečeká na pravidelný interval.

Ste si vedomy toho, ze su Vase tvrdenia su v priamom rozpore s realitou?

> Mno na kritické chyby se u MS taktéž nečeká na pravidelný interval.

Od MS používám pouze WinXP, IE7 a nějaký Office compatibility pack. Ale od doby, co MS vyhlásil politiku "bezpečnostní aktualizace každé první úterý v měsíci" se mi ještě nestalo, že by mi aktualizace byla nabídnuta jindy, než ve středu po tomto úterý. Takže tady zase plácáte nesmysly.

Automatické aktualizace používám na Linuxu už hezky dlouho, takže i vaše výkřiky o nutnosti aktualizovat Linux ručně jsou jen bohapusté nesmysly.

"Pokud mám mluvit za pohled komerčního administrátora, který se administrací živí, jsou pro mě tyto problému u windows "výhodnější". Méně práce, více automatizace, když zapomenu, automatické aktualizace zaberou. Stojí mě to méně času a práce." no comment

K te aktualizaci, spravuji pouze dva desktopy a dva servery na GNU/Linuxu doma a v praci. Protoze vetsina distribuci ma primarne aktualizacni nastroje v shellu + graficke rozhrani, nevidim v tom zadny problem. Jiz pred lety, kdyz jsem objevil Gentoo, zvazoval jsem pridat 'emerge -Du world' v 12ti hod. cyklu do crontabu, tim bych docili, ze se system bude kazdych 12 hod sam aktualizovat. Nechtel jsem ale aby mi zil a menil se system taknejak sam od sebe, i kdyz o celem prubehu aktualizaci bych mohl byt informovan treba na mail. Automatizovanou mam akorat sysnchronazaci repozitare balicku a aktualizace provadim vetsinou kazde rano sam, abych nad tim co se do systemu bude cpat mel plnou kontrolu. Je to jen rootovi.

A dalsi detsky odbornik. Ten clanek vysel cca tyden po tom co do vsech rozumnych distribuci byly uvolneny zaplaty. To ze se objevi chyba a opravi je normalni zivotni cyklus kazdeho software.

Kolik lidí se přihlašuje klíčem a ne účtem a heslem?

Hle, několik řádů ubylo?

Kdo má časově neomezený certifikát?

Opět několik řádů ubylo?

Kdo nemá nastaven omezený počet špatných přihlášení?

A už nemáme žádný problém.

Např. při omezení na 3 přihlášení a pak hodina pauza se budete snažit 10 000 hodin, což je asi rok a půl. Který admin si toho za rok a půl nevšimne? Která CA generuje certifikáty na víc než jeden rok?

Takže zase jeden takový tradiční blábol. Chyba je chyba z jedné strany, ale problém nikde nevidím. Pokud současně není mnoho dalších problémů.

Ale teď si představte, že budete paralelně zkoušet třeba 10.000 serverů, což není technicky takový problém.

Představil jsem si - musejí to být servery s Debianem a musí tam být použity pro přihlášení klíče, nesmíte to zkusit víc jak 3x na jeden server, nesmí být ani omezeno SSH na definované IP apod. Možná něco nabouráte, ale stejně tak můžete náhodně uhádnout i jakkoliv složitý klíč napoprvé - když budete mít štěstí. Celkově je počítačů miliarda?