Re: [ml] Debian OpenSSL Predictable PRNG

Il giorno 23/mag/08, alle ore 12:16, Sandro Fontana ha scritto:

> Gigi Sullivan wrote:
> > Ciaps,
> >   probabilmente lo sapete di gia` e avete gia` provveduto ma, nel  
> > caso
> >   non fosse cosi`, just FYI [*]
> >      http://metasploit.com/users/hdm/tools/debian-openssl/
> [...]
> > [*] chiavi generate tra settembre 2006 e 13 maggio 2008 potrebbero
> > essere vulnerabili
>
>
> Dalla reazione della ML probabilmente lo sapevano gia' tutti tranne  
> me!
>
> Me ne sono accorto solo un'ora fa.
>
> Quello che non capisco e' che c'era stata gia' una discussione
> nel 2003 (non e' che lo ricordi, l'ho solo visto nel documento
> metasploit) dove veniva spiegata chiaramente la necessita' delle
> istruzioni che generavano i warning ...

Infatti gli sviluppatori di OpenSSL lo sapevano, il problema sorge  
invece quando uno sviluppatore Debian si arroga il diritto di  
modificare i sorgenti di OpenSSL pur non avendone nessun diritto e  
nessuna competenza (di buone intenzioni è lastricata la via  
dell’inferno)..

Saluti,

Alberto Trivero