Бен Кох (Ben Cox), инженер из компании CloudFlare, опубликовал (https://blog.benjojo.co.uk/post/auditing-github-users-keys) результаты исследования надёжности SSH-ключей, используемых пользователями GitHub. Оценив 1.3 млн публичных ключей, которые размещены в открытом доступе и ассоциированы с аккаунтами GitHub, было выявлено, что до сих пор многие пользователи применяют ключи, сгенерированные в окружении Debian, содержащем пакет OpenSSL с неисправленной уязвимостью (http://www.opennet.me/opennews/art.shtml?num=15846), в которой разработчики Debian комментированием двух строк кода поломали генератор случайных чисел.
Уязвимость даёт возможность предсказывать значение генератора случайных чисел и, соответственно, легко подбирать приватные ключи на основе публичных SSH-ключей (уязвимый OpenSSL позволяет генерировать только 32 тыс. вариантов ключей). Ошибка была внесена в 2006 году и устранена в мае 2008 года. Число пользователей GitHub с уязвимым SSH-ключом оказалось достаточно велико. Например, проблемные ключи были выявлены у разработчиков, имеющих право коммита в репозитории компаний Яндекс, Couchbase и Spotify, в проекты gov.uk, в кодовую базу Python, фреймворк Django и ruby gem. В настоящее время, GitHub уже отправил уведомления подверженным проблеме пользователям и заблокировал проблемные ключи.
Кроме ключей, связанных с уязвимостью в OpenSSL, было выявлено несколько ключей подозрительно небольшого размера - семь ключей по 512 бит и два ключа по 256 бит. Подобный размер позволяет достаточно быстро выполнить подбор приватного ключа, например, на компьютере с процессором i5-2400 на подбор 512-битного ключа было потрачено менее трёх дней, а 256-битного - 25 минут.URL: http://arstechnica.com/security/2015/06/assume-your-github-a.../
Новость: http://www.opennet.me/opennews/art.shtml?num=42357
поломали совершенно случайно (с)
Ну и динозавры, однако. Это же что надо делать, чтобы не проапдейтиться с тех пор? При апдейте с уязвимой версии SSH, насколько я помню, заставлял сменить ключи
Причём тут "уязвимой версии SSH" и "не проапдейтиться с тех пор". Проблема в том, что сгенерировали ключ в системе с уязвимой версией OpenSSL. OpenSSL потом успешно поправили, но про ключ забыли.
При обновлении openssl в дистрибутивах прилетает пакет openssl-blacklist, который включает утилиту openssl-vulnkeys, которая проверяет ключи на уязвимость, в том числе на Ту Самую уязвимость.
Именно так
> При обновлении openssl в дистрибутивах прилетает пакет openssl-blacklist, который включаетЭто он в Debian-е прилетел, у тебя, у меня (и, кстати, и тут openssh-blacklist{,-extra} можно деинсталировать -- вообще без вопросов; то же и с openSSL-blacklist{,-extra). Вопрос, собственно, пошли ли те BL-патчи в апстрим, _включая_ maint.-релизы, и др. дистрибутивные эко. [Да, я не в курсе. Исследователи "наверху" тоже не прояснили?] И как ловить неправильный ключ васи пупкина, который, например, на putty.exe.
> утилиту openssl-vulnkeys, которая проверяет ключи на уязвимость, в том числе на
> Ту Самую уязвимость.Утилит аж 3 штуки -
usr/bin/openssl-vulnkey net/openssl-blacklist
usr/bin/ssh-vulnkey net/openssh-client
usr/sbin/openvpn-vulnkey net/openvpn-blacklist, но встроена ли соотв.проверка в клиент и сервер? С руганью в консоль и логи?
ну так где кривые ключи генерировали - там он и прилетел и поймал их. Как они окажутся на putty.exe? Разве что если какой дебил нарушил принцип "каждой машине - свой ключ/ключи" - ну так его проблемы, надо хоть как-то понимать, что делаешь.
Это Debian, детка!
GitHub теперь сборище пидо%#сов, не фигурально, а буквально - https://github.com/blog/2016-support-lgbtq-tech-organization...
начали продажу футболок с пропагандой ЛГБT, проводят конференции для разработчиков нетрадиционной ориентации. На первой странице их блога как минимум три заметки об ЛГБT.
И что? Причём это на техническом ресурсе? Латентность покоя не дает?
> При чём это на техническом ресурсе?Вообще-то организационные и социальные выверты на технических аспектах тоже отражаются -- например, спрогнозировать многолетний непрестанный поток дурацких дырок в Joomla было достаточно просто, посмотрев на реакцию "авторского коллектива" по нескольким "конкурентным" вопросам и особенно почитав здесь же рассказ человека, который там попытался было заняться безопасностью и воспитанием этого детского сада.
Где-то так и тут, увы.
PS: ещё не удивлюсь, если вылезет какой-нить ярый доказатель того, что "дебиан был прав" и вообще всё это клевета, а на него найдётся очередная едкость у того же arisu.
То, что авторский коллектив джумлы недавно из детского садика, сразу видно по коду.Социально-политические выверты всегда раздражают. Не имею ничего против любых ориентаций, вероисповеданий и мнений, пока их мне никто не навязывает. Гей-пропаганда, впрочем, ровно так же отвратительна, как и российские пиарщики, оседлавшие волну госпропаганды с "антисанкциями" и прочими "крымнашами". Одного поля ягоды. Но при должном качестве продукта это все можно и игнорировать до определенной степени.
читаю новость, читаю коммент, читаю новость, казалось бы причем тут геи, но анонимные аналитики всегда найдут то что скрыто от нас... а может анонимных аналитиков очень волнует этот вопрос, закрадываются подозрения по поводу предпочтений анонимов
> Вообще-то организационные и социальные выверты на технических аспектах тоже отражаются -- например, спрогнозировать многолетний непрестанный поток дурацких дырок в Joomla ...Мишаня, про Лисичку тоже не забываем, она народу поближе к телу будет, чем какая-то непонятная Joomla.
>> Вообще-то организационные и социальные выверты на технических аспектах тоже отражаются -- например, спрогнозировать многолетний непрестанный поток
> Мишаня, про Лисичку тоже не забываем, она народу поближе к телу будет,"Народ уже давно требует беспощадного выкорчевы[8<]" http://www.phoronix.com/scan.php?page=news_item&px=systemd-F...Товарищ Фарфуркис, разберитесь!"
> чем какая-то непонятная Joomla.
>>> Вообще-то организационные и социальные выверты на технических аспектах тоже отражаются -- например, спрогнозировать многолетний непрестанный поток
>> Мишаня, про Лисичку тоже не забываем, она народу поближе к телу будет,
> "Народ уже давно требует беспощадного выкорчевы[8<]" http://www.phoronix.com/scan.php?page=news_item&px=systemd-F...
> "Товарищ Фарфуркис, разберитесь!"
>> чем какая-то непонятная Joomla.Митрофанычъ, тов. Фарфуркис занят, бухает с Фёдором в стекляшке - обсуждают перспективы встраивания неонки в Joomla, и её дальнейшую рационализацию.
> поток дурацких дырок в Joomla было достаточно просто, посмотрев на реакцию "авторского коллектива" по нескольким "конкурентным" вопросам и особенно почитав здесь же рассказ человека, который там попытался было заняться безопасностью и воспитанием этого детского сада.Django разрабы тоже потешили, нашелся затейник решивший привести код к полит корректности, убрать с програмного кода "master - slave" и прочие выражения заменив их на полит корректными.
Остальная часть сообщества вместо того чтобы промолчать, жестко высказала всё что думает по поводу толерастии.
https://code.djangoproject.com/ticket/22667 - это вот тут жестко высказали? Мимолетящие школьники на имиджборде имени жытхаба не есть сообщество.
То есть мы будем судить о специалистах не по качеству работы, а по тому, кого и в какие места они трахают?МакКузик вот BSD запилил, а некоторые мои знакомые, не отличающиеся, как вы говорите, "вывертами", собственных детей воспитать не могут.
какой кошмар! как дальше жить?!
Как будто что-то плохое.
Тот редкий случай, когда я рад, что в 2007-м году пользовался FreeBSD. :-)
>у разработчиков, имеющих право коммита в репозитории компаний Яндекс<sarcasm>Вот где-где, а в яндексе не ожидал.
Ps Небось девелопер из части по яндекс.директ
Надо юзать первоисточник - OpenBSD :)
http://cs5.pikabu.ru/post_img/2014/03/02/7/1393754312_160050...
>Ошибка была внесена в 2006
> году и устранена в мае 2008 года. Число пользователей GitHub с
> уязвимым SSH-ключом оказалось достаточно велико. Например, проблемные ключи были выявлены
> у разработчиков, имеющих право коммита в репозиторииХорошо, что коммиты b тарболы подписывают gpg. Пока снова не грянет?
> ключа было потрачено менее трёх дней, а 256-битного - 25 минут.
> Бен Кох (Ben Cox), инженер из компании CloudFlare, опубликовалА с чего это он "Кох", когда он Кокс?
>> Бен Кох (Ben Cox), инженер
> А с чего это он "Кох", когда он Кокс?Чтобы не орпагандировать. Чёрную металлургию.
Веп Сох, по-моему.
а палочка кокса у него есть?
> а палочка кокса у него есть?Может и есть.
Но никто не знает что такое "палочка кокса".
Поэтому невозможно сказать есть ли она у него.
я помню, как-то при то ли создании нового репозитория, толи ещё при какой-то операции на github (примерно год-полтора назад) при вводе пароля успел подумать, что я не тот пароль ввожу - но уже автоматом ввёл и нажал enter... так этот github дажее не подавился, и сделал всё, что нужно. (вот так я стал хакиром)