V Debianu rozbili OpenSSL

14.5.2008 23:00 | Přečteno: 2000× | Ani zbla | poslední úprava: 14.5.2008 23:32

Dnes ráno přišel na mé Ubuntu update balíčku openssl. V komentáři psali, že některé vygenerované klíče můžou být napadnutelné kvůli tomu, že mohly být vytvořené rozbitým generátorem náhodných čísel. Večer jsem se chtěl připojit k firemní VPN, ale nepovedlo se - openvpn zahlásilo, že klíče můžou být kompromitované a konec. WTF?

No a ten zmiňovaný update obsahuje kromě opravy i nástroj, který umí zjistit, jestli je daný klíč vygenerovaný správně nebo špatně. A můj klíč do firemní VPN neprošel.

Chyba se týká Debianu a odvozených dister. Nepříjemné je to v tom, že vznikla v unstablu v září 2006, takže od té doby prosákla i do stablu a všech možných Ubuntu. Naštěstí jsem zastihl admina a ten mi na svém Gentoo vygeneroval nový .

http://article.gmane.org/gmane.linux.debian.security.announce/1614        

Komentáře

[laco]

Jo, jo, už se o tom píše skoro všude...

[R]

Je to pruser ako svina, v skoro celej firme teraz menit kluce...

[pele]

jj humus, ale pojed to tim perlovskym skriptem, treba nebudou vsechny "weak"

[Michal Čihař]

To nestačí, v podstatě všechny DSA klíče, které byly použity proti OpenSSL s tímto problémem, můžou být odhaleny kýmkoliv, kdo má přístup k zašifrovaným datům. Stačí vyzkoušet 2^15 (nebo 2^17 pokud nevíme jaký používal procesor) kombinací.

[Ondrej 'SanTiago' Zajicek]

Mas nejak podporene toto tvrzeni? AFAIK jde pouze o klice generovane rozbitym OpenSSL.

[Michal Čihař]

Bohužel nejde, DSA je prostě z tohoto pohledu blbě navržené. Stačí tohle? Teď na podrobnější vysvětlování nemám náladu .

Koneckonců i v tom bezpečnostním oznámení je to napsáno:

Furthermore, all DSA keys ever used on affected Debian systems for signing or authentication purposes should be considered compromised; the Digital Signature Algorithm relies on a secret random value used during signature generation.

[Michal Kubeček]

Furthermore, all DSA keys ever used on affected Debian systems for signing or authentication purposes should be considered compromised

To je ovšem podstatně slabší, než co tvrdíte vy. Že je problém s klíči použitými na chybujícím systému, tomu nemám problém věřit. Ale pokud by měl být problém i s klíči použitými proti takovému systému, znamenalo by to, že DSA už je navěky ztraceno - co by bránilo útočníkovi nainstalovat si Debian s tou chybou?

[Michal Čihař]

Uznávám, napsal jsem to blbě.

Nicméně stejně DSA v podstatě nemá smysl používat (od té doby co vypršely patenty na RSA).

[Michal Kubeček]

Téhle úvaze nerozumím. Protože algoritmus A není zatížen patenty, nemá smysl používat algoritmus B sloužící ke stejnému účelu? Podle stejné logiky nemá smysl používat RSA, když DSA není zatížena patenty…

[Michal Čihař]

Ta logika je spíš taková, že DSA mělo smysl používat když RSA bylo zatíženo patenty a tudíž ve mnoha distribucích nebylo podporováno. DSA je z principu mnohem více náchylné na útoky, kdy někdo může uhodnout jak se bude chovat generátor náhodných čísel (což je přesně to co se teď stalo), kdežto RSA žádnou takovouhle principiální slabinu nemá (nebo se o ní zatím neví ).

[zelial]

usage: ./dowkd.pl [OPTIONS...] COMMAND [ARGUMENTS...]

COMMAND is one of:

  file: examine files on the command line for weak keys
  host: examine the specified hosts for weak SSH keys
  user: examine user SSH keys for weakness; examine all users if no
        users are given
  help: show this help screen

OPTIONS is one pf:

  -c FILE: set the database cache file name (default: dowkd.db)

dowkd currently handles OpenSSH host and user keys and OpenVPN shared
secrets, as long as they use default key lengths and have been created
on a little-endian architecture (such as i386 or amd64).  Note that
the blacklist by dowkd may be incomplete; it is only intended as a
quick check.

[Douglish]

Asi jsi chtel napsal OpenSSL a ne OpenSSH, ne? Krom toho, zminka o tom tady jiz byla jak na abclinuxu tak na rootu.

[alblaho]

Já idiot. Jasně, dík.

[MJ]

Ne, opravdu OpenSSL. OpenSSH tuto knihovnu používá pro kryptografická primitiva a mimo jiné také pro generování náhodných čísel.

[Bluebear]

Mno jo... to se prostě občas stane, chyba se prevít vloudí. Neměj jim to za zlé.

Jak říká jeden z mých přátel, "stane se i střízlivému"

[Laoc]

Chyby z vlastních řad se vždy omlouvají s lehkým srdcem...

[skonciljsem]

Chyby z vlastních řad?

[Laoc]

Ano, chyby z vlastních linuxových řad.

[Bluebear]

Jaképak vlastní řady, já patřím ke klanu zelených ještěrek!

[Laoc]

Já vím, přesto ale máte s Debianem velmi mnoho společného...

[belisarivs]

Ty tedy musis byt dokonalost sama.

[Laoc]

Filosofové měli k dokonalosti vždy blíže než generálové, milý Belisarie.

[belisarivs]

Ne, pouze o tom umeli lepe presvedcovat.

[Käyttäjä 11133]

No ono jim nejde mít za zlé, že se spletli. Jediné co jim můžu zazlívat (a taky to dělám) je to, že patchují bez spolupráce s upstreamem tak důležité součásti jako jsou šifrovací nástroje a knihovny.

[alblaho]

Já se přidávám. Prostě kryptografie není žádná prdel a kdo si není absolutně jistý tím, co dělá, měl by se držet zpět. Debianu v podstatě vděčím za všechno mí Linuxové existování, ale tohle se tedy hrubě nepovedlo.

[Jan Zapletal]

Já bych ohledně spolupráce s upstreamem nebyl tak příkrý. Podle tohoto pohledu to vypadá trošku jinak.

[alblaho]

No jo, kdyby byl ten upstream code okomentovaný, tohle by se nemuselo stát.

"The problem is that in the same file, in another function all other sources of entropy were being merged into the pool of randomness using exactly the same code line as the one code line flagged by Valgrind."

[Ladicek]

MD_Update(&m,buf,j);

To jsou ty popisné identifikátory…

[MJ]

Když se to vytrhne z kontextu o něco méně :), je docela srozumitelné, co kód dělá. Upstream bych z toho vážně nevinil, tohle opravdu padá celé na hlavu distribučního maintainera.

[MJ]

Pokud vím, bylo to takto: funkce pro inicializaci entropy poolu dostala buffer konstantní velikosti, do kterého volající uložil náhodné bity. V některých případech ovšem nevyplnil buffer celý, takže Valgrind varoval, že se přistupuje k neinicializovaným datům (zbytek bufferu). Maintainer na to reagoval tím, že zpracování celého bufferu zakomentoval. Ehm.

[Michal Čihař]

Je to jinak . V tom kódu bylo dvakrát MD_Update(&m,buf,j);, které aktualizuje náhodný pool bufferem. Poprvé se to provede z bufferu, který vypadnul z mallocu a to způsobí warningy ve valgrindu. Podruhé až když je ten buffer naplněn daty z /dev/urandom. Problém je v tom, že ten patch odstranil obě tyto volání, a ne jen to první. O přehlednosti a dokumentovanosti kódu OpenSSL se radši vyjadřovat nebudu .

[belisarivs]

Souhlas.

Tohle je IMHO dobry nazor:

If you consider a distribution as something more than a big chaotic bunch of packages, you’ll have to make some distro-specific patches to make the whole distribution consistent. In the Games Team we have to really patch some games a lot to make them just usable. We’re far ahead of Slackware in any case, so why try to go back to the past? Most of the patches provided by Debian improve, stabilize and integrate the programs. The fact that there might be an error once in a while doesn’t contradict that, and in fact we’re correcting much more errors than the ones we might be creating, as unfortunate as they might be, like in this case.

Je to reakce na navrh, pouzivat pouze pokud mozno nepatchovane programy a patche posilat nejdriv do upstramu jak to pry dela Slackware.

[alblaho]

Na tom, že patchuje není nic špatného. Pokud jde o hry, tak ať si s tím, pro-pána-jána dělají co chtějí, kdyžtak spadne nějaká, no. Ale u takových kritických věcí by měli být ultrakonzervativní.

No stane se. Už jsem určitě vyrobil horší chyby, jen nejsem maintanerem superdůležitého balíku superpopulární distribuce

[Käyttäjä 11133]

Šetřil bych s těmi superlativy.

[belisarivs]

Ja pro setreni nevidim duvod.

[alblaho]

Že jo. Výsledky distribuční ankety dopadnou tak, že hodně velká část strojů bude debian-based a všechny tyto stroje mají tenhle balík v základní instalaci.

On totiž Debian je superoblíbený hlavně pro forkování

[Michal Kubeček]

Výsledky distribuční ankety dopadnou tak, že…

Paranoik by si asi položil otázku, jak to můžete takhle předem vědět. :-)

[Käyttäjä 11133]

:D

[belisarivs]

To je dano jeho urcenim a celkovou kvalitou.

Je to super OS, s paradnim systemem spravy balicku a systemu celkove a dalsim, ale neni orientovany na zacatecnikuv desktop.

No, a ty distribuce proste tezi z jeho vyhod a jeste jej zpristupnuji zelenacum.

[belisarivs]

Tim nechci rici, ze by Ubuntu a podobne nemely na sve popularite zadnou zasluhu. Ale proste ten vliv Debianu je v systemu videt.

Ja casto a rad treba zabrousim do /usr/share/doc kde se da csto najit nejaky ten "debian.howto" apod. coz jsou jednoduche step by step navody.

Fakt parada.

[Michal Čihař]

No ono to tak jednoduché není. Ten patch byl poslán na OpenSSL mailing list, pár lidí k němu cosi řeklo, ale nikdo, že by to bylo špatně. Problém je, že tohle se děje s většinou patchů co se do OpenSSL pošlou .

[Michal Čihař]

Jinak tady je diskuze o té změně.

[Robo]

jj, to nasere

[spectrum]

No a? Já bych OpenSSL rozbít neuměl... Ano, Debian je moje distribuce číslo jedna.

[MJ]

Napsal jsem skriptík kontrolující slabé klíče, který má o něco větší pokrytí než defaultní databáze debianího ssh-vulnkeys. Třeba se vám také bude hodit.

Pokrývá DSA 1024, RSA 1023-1024, RSA 2047-2048 a využívá data z projektu Metasploit.