Los encargados del mantenimiento de Debian crearon al parecer el bug al borrar código que servía de base a la generación del número aleatorio utilizado para calcular las claves de cifrado.
El resultado fue que el generador del número aleatorio utilizado en el paquete OpenSSL de Debian puede predecirse, haciendo que las claves puedan adivinarse con facilidad.
El aviso de Debian Security, DSA-1571-1 dice: “Las claves afectadas son las SSH, OpenVPN; DNSSEC y material para uso en certificados X.509 y claves de sesión utilizadas en conexiones SSL/TLS. Las claves generadas con GnuPG o GNUTLS no se han visto afectadas.”
El aviso publica también las URLs para un detector de claves de cifrado débil, así como las instrucciones para implantar claves giratorias.
La vulnerabilidad sólo se produce en sistemas Linux Debian o derivados de Debian, pero en ellos también se incluyen las versiones Ubuntu de Linux que se han hecho tan populares últimamente entre los usuarios casuales de sobremesa de Linux.
Muchos usuarios no tendrían que verse afectados por este bug del SSL a menos que hubiesen generado claves cifradas para acceso SSH entre los sistemas o firma digital o certificados de autentificación.
Fuente: The Inquirer UK
Marcadores