パスワードを忘れた？ アカウント作成
Close
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Debianのopensslパッケージに欠陥発覚 More

「Debianのopensslパッケージに欠陥発覚」記事へのコメント

  • SSLサーバ証明書 (スコア:0)

    by Anonymous Coward
    SSLサーバ証明書もetchで秘密鍵作ってたら、再取得になるのか・・・

    openssl genrsa --rand でファイル指定していてもダメなのかな？

    • 「--rand」じゃなく「-rand」ですね、ってのはさておき、興味深いコメント [slashdot.jp]にあるリンク [debian.org]をたどって読むと、rand/md_rand.cのssleay_rand_add関数に当てたパッチがまずかったらしい。

      この関数ですが、「openssl genrsa -rand ファイル 」を実行したとき、RAND_SSLeay関数経由で、呼ばれるときがあるように見えます。というのは、OPENSSL_NO_ENGINEマクロを定義してコンパイルすると、RAND_SSLeay関数で乱数を作るよう、実行時に設定されますが、このマクロなしでコンパイルすると、SSLのエンジンにしたがった関数のアドレスが戻ることもあるわけです。

      Debianでどちらでコンパイルされていたか定かではないですが、《エンジンなし》と考えるのが妥当かと思います。 とすると、RAND_SSLeay関数から、ダメダメなssleay_rand_addが関数が呼ばれて、-randの引数が捨てられる、という嬉しくない展開になりそうな気がします。

      仮定も入ってますし、(最近あまりC読んでないので) 大間違いをやらかしてるかもしれませんが、ご参考までに。

      --
      iida
      シェア
      親コメント

あつくて寝られない時はhackしろ! 386BSD(98)はそうやってつくられましたよ? -- あるハッカー