Schwache Debian-OpenSSL-Schlüssel erkennen und ersetzen
Zusammenfassung
Manuel Schmitt warnt Kunden vor vorhersagbaren Schlüsseln aus fehlerhaften Debian- und Ubuntu-Versionen und nennt Prüfwerkzeuge sowie Austauschschritte.
Ideen
- Eine fehlerhafte Distribution kann Schlüssel vieler abhängiger Anwendungen gleichzeitig schwächen.
- Ein Softwareupdate repariert keine bereits mit geringer Entropie erzeugten Schlüssel.
- Auch andere Systeme bleiben betroffen, wenn sie Schlüssel von einem verwundbaren Debian-System übernehmen.
- Kundenkommunikation muss Betroffenheit, Grenzen und konkrete Prüfwege verständlich trennen.
Einsichten
- Kryptografische Herkunft begleitet einen Schlüssel über Betriebssystemgrenzen hinweg.
- Supply-Chain-Fehler in Zufallszahlenerzeugung verlangen Inventar und vollständige Schlüsselrotation.
Fakten
- Betroffen waren unter anderem Schlüssel für OpenSSH und Webserverzertifikate.
- Der Beitrag verweist auf das Debian-Werkzeug vulnkey und weitere Prüfmöglichkeiten.
- Ein Nachtrag stellt klar, dass außerhalb Debians eingesetzte, dort erzeugte Schlüssel ebenfalls schwach bleiben.
Empfehlungen
- Prüfe sämtliche im betroffenen Zeitraum erzeugten Schlüssel gegen bekannte Schwachschlüssellisten.
- Erzeuge Ersatz auf einem sicheren System und widerrufe alte Zertifikate sowie Zugänge.
Referenzen
Originalbeitrag auf Hostblogger lesen →
Der Link zur Originalquelle öffnet einen neuen Tab.