[Linuxtrent] Re: Openssl in Debian e derivate!
- From: "Marco Ciampa" <ciampix@xxxxxxxxx>
- To: linuxtrent@xxxxxxxxxxxxx
- Date: Thu, 15 May 2008 08:21:23 +0200
On Wed, May 14, 2008 at 11:47:36PM +0200, Roberto Resoli wrote:
> 2008/5/14 Marco Ciampa <ciampix@xxxxxxxxx>:
> > On Wed, May 14, 2008 at 05:37:04PM +0200, Lele Gaifax wrote:
> >> On Wed, 14 May 2008 16:47:31 +0200
> >> Giuseppe Briotti <g.briotti@xxxxxxxxx> wrote:
> >>
> >> > > http://www.debian.org/security/2008/dsa-1571
> >> >
> >> > mmm... ho capito male? Come dire che tutte le chiavi
> >> > generate dal 2006 a oggi potrebbero essere vulnerabili?
> >>
> >> No, hai capito bene, è proprio così. Facendo un upgrade ti ritrovi un
> >> nuovo comando, "ssh-vulnkey" che ti segnala l'eventuale presenza di
> >> chiavi da considerare compromesse.
> >>
> >> ciao, lele.
> >> --
> >> nickname: Lele Gaifax | Quando vivrò di quello che ho pensato ieri
> >> real: Emanuele Gaifas | comincerò ad aver paura di chi mi copia.
> >> lele@xxxxxxxxxxxxxxxxxxx | -- Fortunato Depero, 1929.
> > Oltretutto persino il README del pacchetto non è che sia chiarissimo...
> >
> > Se uno facendo
> > ssh-vulnkey -a
> > ottiene messaggi tipo:
> >
> > Unknown (no blacklist information): ....
> >
> > (che vuol dire? Che non è sicura ma non è presente nella lista? Oppure che
> > non lo sa? Che fare?)
>
> apt-get install openssh-blacklist
>
> ti installa la blacklist ...
apt-get install openssh-blacklist
Lettura della lista dei pacchetti in corso... Fatto
Generazione dell'albero delle dipendenze in corso
Reading state information... Fatto
openssh-blacklist è già alla versione più recente.
Risponde alla mia domanda? No. Il fatto che credo sia da notare è che quando
c'è di mezzo la sicurezza IMHO la gente deve fare uno sforzo per essere più
chiara possibile...una manovra sbagliata può costare cara...e non mi pare
siano stati tanto chiari. Io per lo meno sono molto dubbioso su come
procedere...
--
Marco Ciampa
+--------------------+
| Linux User #78271 |
| FSFE fellow #364 |
+--------------------+
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-request@xxxxxxxxxxxxx
Other related posts: