[Technik] [SECURITY] [DSA 1576-1] New openssh packages fix predictable randomness

[Peter Davidsen]

On Fri, May 16, 2008 at 02:43:43PM +0200, Peter Koellner wrote:
 
> In dem Fall wäre es sinnvoll, temporäre neue Passwörter über GPG zu
> verschicken, da, wenn man sich mit dem alten passwort einloggt, um ein
> neues zu erzeugen, das neue auch kompromittiert wäre.

Wenn auf Server- und Client-Seite die neuen OpenSSH-Pakete installiert
und damit ein neuer Schlüssel generiert wurde, dürfte man wieder eine
sichere Verschlüsselung haben - aber wenn anderen das Passwort schon
bekannt sein sollte, dann ist der Account natürlich kompromitiert, oder?

Das Problem kann dann in der Tat nur mit neuen, temporären Passwörtern
gelöst werden. Wie auch immer, ich bin lieber für ein wenig mehr
Sicherheit zulasten der Bequemlichkeit. Alles austauschen und beten,
dass nichts böses passiert ist in der Zwischenzeit und gut ist.

So ein Fall wird sich hoffentlich so schnell nicht wiederholen. CACert
ist auch betroffen, und wieviele tausend Assurer gibts nochmal?

Peter

-- 
  .''`.  Peter Davidsen - http://www.wcc.de
 : :' :  pdavidsen at wcc.de - GnuPG-Key ID: BD254955
 `. `'   Fingerprint: 4544 F74A 117E D74E 1B5A  5D03 6303 8542 BD25 4955
   `-    My favorite OS: http://www.debian.org
-------------- next part --------------
A non-text attachment was scrubbed...
Name: not available
Type: application/pgp-signature
Size: 189 bytes
Desc: Digital signature
Url : /archiv/technik/attachments/20080516/fffd9035/attachment.pgp