pas dis que debian était au dessus de tout reproche, mais quand je vois quelqu'un dire "si ils étaient venu nous dire ca on lui aurai ri a la gueule" (alors que c'était loin d'etre trivial comme probleme), je trouve ca plutot naze...
Attention il y a deux choses :
- Premièrement les mainteneurs Debian ont demandés si c'était normal que le pool d'entropie ne soit pas initialisé à la création. Ce à quoi l'équipe OpenSSL a répondu que pour le debug ils pouvaient initialiser le pool.
- Deuxièmement les mainteneurs Debian ont ont retirés toute possibilité d'ajouter de l'entropie à ce pool (c'est à dire qu'il ne se sont pas contenter de l'initialiser, maisqu'ils l'ont vérouillé à une valeur connue), enlevant ainsi 99% de l'aléatoire dans la génération de clefs.
Autant le premièrement n'est pas trivial, autant le deuxièmement montre qu'ils sont complètement à coté de la plaque.
[^] # Re: Debian et dérivées
Posté par Jerome Herman . En réponse au journal Vulnérabilité Debian. Évalué à 5.
Attention il y a deux choses :
- Premièrement les mainteneurs Debian ont demandés si c'était normal que le pool d'entropie ne soit pas initialisé à la création. Ce à quoi l'équipe OpenSSL a répondu que pour le debug ils pouvaient initialiser le pool.
- Deuxièmement les mainteneurs Debian ont ont retirés toute possibilité d'ajouter de l'entropie à ce pool (c'est à dire qu'il ne se sont pas contenter de l'initialiser, maisqu'ils l'ont vérouillé à une valeur connue), enlevant ainsi 99% de l'aléatoire dans la génération de clefs.
Autant le premièrement n'est pas trivial, autant le deuxièmement montre qu'ils sont complètement à coté de la plaque.