(sans vérifier) ils font un srand() avec en argument le pid et un bloc de mémoire non initialisée pour initialiser le générateur de nombres aléatoires (le RNG)
manque de pot, le patch idiot de y'a 2 ans fait que ce bloc est initialisé à zéro (ou une valeur constante genre A5, on s'en fout),
J'espère que ce n'est pas aussi simple que ça, parce que si la sécurité d'openssl repose sur la valeur d'un bloc mémoire non initialisé, ben pour le coup j'ai encore plus peur.
Sinon, qu'elle est la taille du SEED ? Dépend-elle aussi de la taille de la clé ?
[^] # Re: Est-ce que quelqu'un saurait pourquoi
Posté par Cédric Chevalier (site web personnel) . En réponse à la dépêche Découverte d'une faille de sécurité critique dans OpenSSL de Debian. Évalué à 2.
manque de pot, le patch idiot de y'a 2 ans fait que ce bloc est initialisé à zéro (ou une valeur constante genre A5, on s'en fout),
J'espère que ce n'est pas aussi simple que ça, parce que si la sécurité d'openssl repose sur la valeur d'un bloc mémoire non initialisé, ben pour le coup j'ai encore plus peur.
Sinon, qu'elle est la taille du SEED ? Dépend-elle aussi de la taille de la clé ?