Faille dans Openssl sous Debian

Il n'est pas inutile de se remémorer un fait marquant de la fin du premier semestre 2008. Une malencontreuse modification du générateur de nombres aléatoires du paquet OpenSSL de Debian (et donc Ubuntu) a entrainé des générations de clés asymétriques trop facilement prédictibles.
En effet, les clés asymétriques telles que celles utilisées par SSH sont générées aléatoirement avec, en principe, une probabilité infinitésimale de pouvoir regénérer le même couple de clés. Mais là, visiblement, le nombre aléatoire se résumait à un simple PID, donc seulement 32768 valeurs possibles. Trop faible.

Certains dessinateurs s'en sont donné à coeur joie :
Le plus délicat est que OpenSSL est la pierre angulaire de bon nombre d'éléments de sécurité :
- les clés SSH ,
- les clés d’OpenVPN,
- les clés DNSSEC,
- les clés et les aléas des certificats X509,
- les clés de session dans SSL/TLS,
- les clés des sessions de connexion sans fil WPA-Enterprise,
...

De plus, cette vulnérabilité peut se propager à d'autres systèmes. L'exemple le plus simple est un serveur sous une distribution quelconque mais qui contient des clés publiques d'utilisateurs générées sous un système Debian pendant les un an et demi qu'a duré cette faille...

Allez, un petit dernier pour la route :

Sources :
- securite-informatique.gouv.fr
- sid.rstack.org