Je suppose que le bon admin , il faut lui envoyer sa clef publique, et c'est lui qui va la mettre ou il faut pour qu'on puisse s'identifier (comme le font KDE ou FreeBSD par exemple). Ca ne change rien au probleme si tu n'as aucun moyen de verifier que la clef fait partie de l'ensemble corrompu.
Bien sur qu'il faut les vérifier. Mais il n'y a aucune raison que l'outil pour le faire soit fourni et/ou publié par openssh. La faille implique tous les projets utilisant openssl.
Il existe moultes outils de vérification de ces clefs, à l'admin de prendre l'outil qui lui convient (debian fournit des outils, metasploit a des jeux de clefs, etc...). Tout bon admin doit en avoir un dans sa trousse à outil.
[^] # Re: Les entreprises payent ?
Posté par Psychofox (Mastodon) . En réponse à la dépêche Appel aux dons pour OpenBSD. Évalué à 2.
Bien sur qu'il faut les vérifier. Mais il n'y a aucune raison que l'outil pour le faire soit fourni et/ou publié par openssh. La faille implique tous les projets utilisant openssl.
Il existe moultes outils de vérification de ces clefs, à l'admin de prendre l'outil qui lui convient (debian fournit des outils, metasploit a des jeux de clefs, etc...). Tout bon admin doit en avoir un dans sa trousse à outil.