安全警告：Debian OpenSSL纰漏缺陷影响很多系统
Submitted by editor on Sun, 05/18/2008 - 00:04.
in
安全警告：Debian OpenSSL纰漏缺陷影响很多系统
作者：Joe Barr
翻译： 17LAMP.NET开源社区 建欣
著名的安全研究者员H. D. Moore， MetaSploit项目的发起者，已经发布了他最近在Debian软件包的 OpenSSL上发现的漏洞。 Moore阐述了引起此漏洞的原因并且解释了攻击者很容易的产生有漏洞的OpenSSL可以创建的每一个可能的密钥。
根据 Moore的解释，“所有由基于Debian的系统（Ubuntu, Kubuntu等）在2006年9月和2008年5月13日间产生的 SSL和SSH密码，可能会受到影响。”他也提供了信息和链接，那里提供了可以重新产生密码的工具。
Moore 解释说这个缺陷的影响是巨大的，甚至超越了Debian/Ubuntu用户社区。
至于SSL密码，所有产生的认证都需要重新产生并且送到认证机构签署。任何基于Debian系统产生的认证授权密码需要被撤销和重新生成。所有允许他的用户利用SSH或者公共验证进入他的服务器的系统管理员，需要审计那些密码，看他们之中是否有在脆弱的系统上产生的。所有依赖于OpenSSL的PRNG来保护它传输的数据的软件工具可能会受到离线的攻击。任何使用基于有漏洞系统产生根密码的SSH服务器会受到数据流解密以及一个对于用户来说是不可见的中间截击式攻击。这个漏洞很有威胁，因为甚至不使用Debian软件的系统也需要审计如果有Debian系统产生的正在被使用的密码。Debian和Ubuntu项目已经发行了一系列的工具可以确定脆弱的密码。你可以在下面的相关部分找到它们。
Debian和它的衍生发行版用户可以使用apt-get更新命令来替换他们系统上易受攻击的密码，并且Ubuntu用户使用昨天发布的安全补丁可以自动替换他们脆弱的密码，但是Moore指出，由于脆弱的密码导致的问题不能通过签署认证或者拷贝到其他的服务器的办法得到解决。
最后如果你是一个Debian或者Ubuntu用户，你需要立刻使用 OpenSSH/OpenSSL补丁确保你的脆弱的密码被替换掉。如果你是一个其他系统平台的管理员，你需要查找并且替换每一个来自于可能产生脆弱密码主机抵达你系统的脆弱密码。
- editor's blog
- Login or register to post comments
