Aliet escribió: > vamos a dejar esta discusion ya, antes de mandar mas mensajes innecesarios a > la lista, > pero antes, vamos a discutir algo: > si usas un key pair generado con un OpenSSL comprometido y la llave publica > la tienes adicionada > a tus llaves autorizadas como un usuario p.ej. root, pues nada, asi es la > cosa, al atacante no le importa > q clave uses, no le importa si es una frase de 32 caracteres, > es tan facil como bajar los paquetes de pares generados por la gente del > metasploit project para cada key space, y hacer una > aplicacion q los pruebe contra un servidor vulnerable, yo mismo hice un shell > script q los probaba, asi de facil es, hay > scripts mas eficientes en perl o python... > si, es como Pedro por su casa, es una vulnerabilidad *SERIA*, > la libreria OpenSSL se usa para *TODA* funcion criptografica q se necesite, > no solo generar un certificado para https... > lo otro q se deriva de ello, falsificar certificados de confiabilidad, > falsificar la llave de un servidor q permitan > un man-in-the-middle son *SERIOS* tambien, > q nosotros no usemos nada de esto, no nos hace inmunes, q no lo usemos no > quiere decir q no sea serio... > q no lo entendamos, no disminuye su impacto... > por favor, el proximo mail acerca de esto, entiendan bien lo q significa y > despues lo compartimos aqui... > >
Primero: gracias por la instructiva explicación... Segundo: para mi ningún mail en un hilo que sea sobre "software libre" y donde se estén discutiendo temas técnicos e instructivos esta de mas... Tercero: Entonces tengo un par de Claves y agrego la clave publica de root como de confianza y listo, pueden entrar a mi server si saber mi password, uhmm creo que nunca usaría algo como eso, creo que la combinación de las 2 cosas si las usaría.... Es curioso, hace algún tiempo envié un mail a esta lista relacionado con el tema y no tuve respuesta... Salu2 y de Nuevo gracias por la instructiva respuesta... Alien! _______________________________________________ Cancelar suscripción https://listas.softwarelibre.cu/mailman/listinfo/linux-l Buscar en el archivo http://listas.softwarelibre.cu/buscar/linux-l
