> S'il y avait eu une passe-phrase sur la clef ce ne serait pas arrivé.
À partir du moment ou un compte utilisateur est compromis il est très facile de récupérer la clé SSH associée, mot de passe ou non. Le mot de passe protège des vols de la clé par accès au support de stockage (partage NFS, clé USB, mauvaise permission de fichier, vol de laptop etc.) pas plus.
Au passage c'est moi ou y'a beaucoup de gens qui balance des trivialités ou du n'importe quoi avec condescendance ? Vu le niveaux des commentaires je trouve ca assez déplacé de casser du sucre sur l'équipe infrastructure d'apache qui jusqu'à preuve du contraire est très compétente... Sur ce cas précis 12 heures entre la compromission et la détection/analyse/prise de mesures/communication/restauration de service sur de la prod c'est du beau boulot. On peut voir le palmarès des donneurs de leçon ?
[^] # Re: Ce n'est pas une faille de sécurité de apache
Posté par ckyl . En réponse au journal apache.org compromis. Évalué à 10.
À partir du moment ou un compte utilisateur est compromis il est très facile de récupérer la clé SSH associée, mot de passe ou non. Le mot de passe protège des vols de la clé par accès au support de stockage (partage NFS, clé USB, mauvaise permission de fichier, vol de laptop etc.) pas plus.
http://people.apache.org/~jim/committers.html ça en fait des possibilités de clés à voler. Sans parler de tout les process automatiques...
Au passage c'est moi ou y'a beaucoup de gens qui balance des trivialités ou du n'importe quoi avec condescendance ? Vu le niveaux des commentaires je trouve ca assez déplacé de casser du sucre sur l'équipe infrastructure d'apache qui jusqu'à preuve du contraire est très compétente... Sur ce cas précis 12 heures entre la compromission et la détection/analyse/prise de mesures/communication/restauration de service sur de la prod c'est du beau boulot. On peut voir le palmarès des donneurs de leçon ?