「Debianのopensslパッケージに欠陥発覚」記事へのコメント

実家鯖ガクブル

[Livingdead (18685)]

この脆弱性がアナウンスされた直後から実家鯖が応答しない．ガクブル．
とりあえずケーブル抜いてもらっているのだけど，何が起こっていたのかわからず，
次に実家に帰る時までどうしようもない．ああ，どうなってるんだ～気になる．
sarge のときから鍵はそのままだったような気もするし，更新した気もするし・・
動的IPアドレスでDynamic DNSを使っているからその更新遅れかもしれないけど，
再びケーブル刺してもらうのも怖いし．

--
屍体メモ [windy.cx]

Re:

[127.0.0.1 (33105)]

今回のニュースをうけて、sshポートが開いているサーバーに
アタックをしかけた結果、攻撃先のサーバーがたまたま
本件の脆弱な鍵を使っていて、かつ短時間で鍵を割り出せて
侵入できたーというのは可能性としては非常に低いと思われますね。

以前から総当り攻撃を受けていて、たまたまこのタイミングで
鍵が分かっちゃったというのも可能性としては低い。
仮にその場合、侵入されるまでに攻撃元からのアクセスを拒否する等、
対策を取らなかったことがまずいけど。

もしかして、脆弱性のニュースをキャッチして危険を感じたらssh
ポートを閉じてしまうような賢いAIでも搭載していましたか?
いや、sshデーモンが自我に目覚めて反乱を起こしたということも……

既にexpolit codeがあります

[knok (35)]

Debian generated SSH-Keys working exploit [securityfocus.com]

既にexploit codeがBUGTRAQに流れています。最新のopenssh-serverパッケージ であれば危険なホスト鍵を使っていたら自動的に置き換えるのである程度は安心ですが、 アップグレードができているかどうかは確認しましょう。

新しいパッケージ openssh-blacklist(危険な乱数列のリスト)が必要となるので、dist-upgradeでないと 置き換わりません。その点ご注意を。

ZDNet Japan Blog - 日本Linux協会blog：OpenSSL問題その後 [zdnet.com]にも解説してあります。

--
knok