[Technik] [SECURITY] [DSA 1576-1] New openssh packages fix predictable randomness

[Peter Koellner]

On Fri, 16 May 2008, Paul Hink wrote:
>> Äh... und wie sieht es mit dem Host-key aus?
>
> Der spielt natürlich eine wichtige Rolle bei der Sicherung einer
> SSH-Verbindung. Aber das hat nichts mit alten oder neuen Passwörtern
> irgendwelcher Accounts zu tun.

Na ja, wie ich gerade gelesen habe, ist der DH-Key ebenfalls von der
"disableten" Funktion abhängig. Wenn ich das richtig verstanden habe,
muss man davon ausgehen, dass sämtliche protokollierten
SSH-Verbindungen entschlüsselt werden können. Wenn da jemand ein Jahr
lang protokolliert hat...

> Das ist klar. Es hilft uns aber leider wenig, wenn es darum geht, wie
> wir jetzt weitermachen soll(t)en/wollen.

Ok. 
0. komplette Sicherung für eventuelle Analysen machen.
1. betroffene Pakete updaten
2. Benutzer informieren, dass alle SSH/SSL keys, etc. ausgetauscht
werden müssen und dass SSH wegen geändertem Host-key meckern wird
sowie rsync usw. schluckauf kriegen könnte
3. System-keys neu generieren und SSH-Server neu starten
4. Passwörter von root, admins und PaketAdmins erneuern
5. alle anderen Passwörter so bald wie möglich erneuern
6. weitergehende Sicherheitsmassnahmen und Beobachtungen des Systems.

Parallel dazu:

Auf Debian einwirken, um bei sicherheitsrelevanten Paketen einen
zuverlässigeren Workflow für Patches und Upstream-Updates
einzuführen. Anscheinend reichen die Kontrollmechanismen dort ja nicht
aus.



-- 
peter koellner <peter at asgalon.net>