HTTPS : Ne dormez pas tranquilles (open-ssl advisory dsa-1571)

Bonsoir,

Toujours à propos de :

http://www.debian.org/security/2008/dsa-1571

"
Luciano Bello discovered that the random number generator in Debian's
openssl package is predictable. This is caused by an incorrect
Debian-specific change to the openssl package (CVE-2008-0166). As a
result, cryptographic key material may be guessable
"

J'insiste, mais il n'y a pas que la partie SSH qui est touchée..

Si comme moi vous avez généré des demandes de certificats SSL à partir
d'une version compromise d'open-ssl (debian) vous pouvez vite demander
une regénération complète de vos certificats à votre prestataire,
quand c'est possible, car vos .key ne valent pas clopette..

# openssl-vulnkey monsite.key
Enter pass phrase for monsite.key:
Enter pass phrase for monsite.key:
COMPROMISED: ee257875dc2395304e8518fd6b62006847ad56a7 monsite.key

Le package n'est pas proposé dans testing : voilà un lien

http://wiki.debian.org/SSLkeys?action=AttachFile&do=get&target=openssl-blacklist_0.1-0%7Edebian-1_all.deb

Sinon voir : http://wiki.debian.org/SSLkeys

Bon week-end à tous!!!