« Ojo con los carteles que mirás por la calle • PHPMyAdmin vulnerable a inyección SQL? »

Comprobar la seguridad de los certificados generados en Debian

6/Junio/2008 en Seguridad, Sistemas Operativos por Gabolonte Blasfemus

Si administrás equipos que corran Debian o alguna otra distro derivada del mismo, como Ubuntu y sus varios sabores, y generaste certificados entre el 2006 y el 2008, es muy posible que éstos sean vulnerables debido al reciente y famoso bug-de-la-línea-de-código-omitida que afectó críticamente a todas las claves generadas desde el paquete OpenSSL incluído. Debido a la gravedad del asunto ya existen algunas compañías que ofrecen servicios de detección online de certificados comprometidos, como ServerSniff.net, la cual se ofrece a decirnos si los certificados SSL o SSH de nuestro Linux está en la lista negra de certificados predecibles generados por la versión defectuosa de OpenSSL incluida en Debian. También es importante saber que, si no nosotros no nos encargamos de hacer esta revisión en nuestros equipos y tomar las medidas pertinentes, cualquiera puede hacerla fácilmente en nuestro lugar, y ya con eso saber que puede irrumpir fácilmente en nuestro sistema. De todas formas el escaneo no es exhaustivo, y si estamos ante la duda, lo mejor será regenerar todos los certificados si esto no nos reporta mayores problemas.