SSH Key (llaves) vulnerable en sistemas Debian

Última actualización el Miércoles, 20 de Agosto de 2008 11:58

Noticias - seguridad

El día 18 de mayo de 2008, el proyecto Debian se vio sacudido por un nuevo escándalo referente a la seguridad de la distribución. Luciano Bello, descubrió que el generador de números aleatorios en Debian del paquete openssl es previsible y por tanto se veía comprometida la seguridad en el acceso mediante llaves (keys) al servidor openssl, así como posiblemente otros problemas relacionados con la generación de certificados.

Versiones afectadas:

1. Debian 4.0 (etch)
2. Ubuntu 7.04 (Feisty), 7.10 (Gutsy), 8.04 LTS (Hardy) http://www.ubuntu.com/usn/usn-612-1
3. Otras distribucuones basadas en Debian Etch

Al margen de la discusión generada sobre la responsabilidad de los parches, Debian ha puesto en marcha el mecanismo de actualización de OpenSSH, lo que provoca que los sistemas que tiene llaves afectadas, son puestas en lista negra de acceso, por el software que se instala, ssh-vulnkey.

Muchos administradores se preguntan, ¿qué ha pasado? No funciona mi llave para acceder al servidor. Incluso, prueban con modificar los parámetros de configuración. Nada más lejos.

Lo primero en el caso de que nos funcionen las llaves, es hacer una actualización del sistema, en particular de OpenSSH, si las llaves fueron generadas con OpenSSL en versiones desde la 0.9.8c1, ya que están son vulnerables.

Estamos hablando de llaves con más de dos años de antigüedad que es más o menos el tiempo de la vulnerabilidad recién descubierta.
Lamentablemente no solo es necesario instalar el paquete base, sino que es necesario regenerar las claves de cualquier material que halla sido generado por las versiones siguientes a OpenSSL 0.9.8c-1 en los sistemas Debian. Las claves afectadas incluyen las SSH keys, OpenVPN keys, DNSSEC keys, y las usadas para los certificados X.509 así como las claves de sesión utilizadas por SSL/TLS. Las llaves generadas con GNUPG o GNUTLS no están afectadas.

Los administradores de sistemas Debian afectados, observaran que no pueden acceder con su llave de acceso SSH actual, después de la actualización. Estos es debido a que la actualización instala un paquete ssh-vulnkey, que realiza una verificación del sistema, incluyendo las llaves SSH encontradas en el sistema que estén construidas a partir del software dañado.

Es importante también no pasar por alto la advertencia del actualizador, respecto de la necesidad de regenerar las llaves OpenSSH del sistema (ssh_host_dsa_key y ssh_host_rsa_key) ya que estas también son vulnerables al ataque de fuerza bruta.