Vous avez sûrement entendu parler du patch foireux fait sur le
générateur aléatoire d'OpenSSL par un développeur Debian. Le bug
existait depuis mi 2006 et n'a été (officiellemnent) découvert et
corrigé il y a quelque jours. La conséquence de ce bug est que toutes
les clés ssh/ssl générées par cette version d'OpenSSL sont vulnérables
et doivent donc être révoquées.
Sur les distributions Debian (et dérivées comme Ubuntu), il y a un
maintenant un correctif qui corrige le bug, ajoute une blacklist des
clés à refuser et fournit un petit outil (ssh-vulnkey) permettant de
détecter les clés vulnérables.
Existe-t-il un outil *BSD permettant de tester l'utilisation d'une de
ces clés par un utilisateur voire de les mettre toutes en blacklist ?
--
Paul Gaborit - <http://perso.enstimac.fr/~gaborit/>
