Ни фига ж себе, эта история прошла мимо тебя? Декларируется как проблема дебиана, но боюсь, она гораздо шире... Ты поR TFM всё-таки. Это проблема всех ключей, сгенерированных с помощью разломанных в Debian/Ubuntu версий openssl, и только их. (Конечно, куда кто эти ключи положил - это другой вопрос.) Не надо сеять панику.
То есть ты считаешь приличным размножать фактический DoS через центральные репозитории Debian/Ubuntu без предупреждений?
Да, эта история прошла мимо меня. И я не уверен, что я единственный, мимо кого она прошла. На тему сути истории я без RTFM знаю уже всё то, что ты сказал. Я говорю об обратной стороне, которая есть то, как именно её выправляли.
Ну, типа, а что надо было сделать? Оставить всё как есть? Заходите, добрые люди, устанавливайте спам-боты и подборщики SSH-ключей, мы обеспечили вам инфраструктуру.
a) сделать громкое-громкое сообщение обновления пакета SSH б) с инструкцией на тему того, как чинить и в) какими-нибудь скриптами-помощниками, может
б) и в) действительно опциональны, но а), учитывая критичность проблемы, должно быть таким громким, чтобы его услышали и задумались даже фотрочнообразные пользователи убунты, если только у них случайно оказася ssh-сервер (впрочем, для обновления клиента тоже нужно такое же объявление на тему того, что вам предстоит гемор с перераспространением ключей).
Comments 7
Декларируется как проблема дебиана, но боюсь, она гораздо шире...
Ты поR TFM всё-таки. Это проблема всех ключей, сгенерированных с помощью разломанных в Debian/Ubuntu версий openssl, и только их. (Конечно, куда кто эти ключи положил - это другой вопрос.) Не надо сеять панику.
Reply
Да, эта история прошла мимо меня. И я не уверен, что я единственный, мимо кого она прошла. На тему сути истории я без RTFM знаю уже всё то, что ты сказал. Я говорю об обратной стороне, которая есть то, как именно её выправляли.
Reply
Reply
б) с инструкцией на тему того, как чинить и
в) какими-нибудь скриптами-помощниками, может
б) и в) действительно опциональны, но а), учитывая критичность проблемы, должно быть таким громким, чтобы его услышали и задумались даже фотрочнообразные пользователи убунты, если только у них случайно оказася ssh-сервер (впрочем, для обновления клиента тоже нужно такое же объявление на тему того, что вам предстоит гемор с перераспространением ключей).
Reply
Leave a comment