3 results
tagged
openssl x
-
[openssl-announce] Forthcoming OpenSSL releases
Mise à jour d’OpenSSL, avec les versions 1.0.2h et 1.0.1t, depuis le 3 mai.May 4, 2016 at 12:56:16 AM GMT+2 - permalink -
Liste des différentes failles : https://openssl.org/news/secadv/20160503.txt- https://mta.openssl.org/pipermail/openssl-announce/2016-April/000069.html
-
Note: générer des entrées SSHFP dans un nom de domaine.
Puisque j’oublie souvent, voilà une méthode simple pour générer un champ SSHFP :March 12, 2016 at 2:12:22 PM GMT+1 - permalink -
ssh-keygen -r <fqdn> -f <file>
en remplaçant "<fqdn>" par votre nom de domaine avec le nom de votre machine, comme "foo.example.com", et "<file>" par le chemin vers le fichier.
Pour recréer à partir d’OpenSSL https://unix.stackexchange.com/questions/121880/how-do-i-generate-sshfp-records#133957- https://links.thican.net/?xXFlwQ
-
575548 – (CVE-2016-0702, CVE-2016-0703, CVE-2016-0704, CVE-2016-0705, CVE-2016-0797, CVE-2016-0798, CVE-2016-0799, CVE-2016-0800) <dev-libs/openssl-1.0.2g: Multiple vulnerabilities (CVE-2016-{0702,0703,0704,0705,0797,0798,0799,0800})
Oh non …March 1, 2016 at 9:02:57 PM GMT+1 - permalink -
Cette mise à jour d’OpenSSL supprime des fonctionnalités et ainsi des symboles dans les binaires. Du coup, l’ensemble, voire la totalité des programmes utilisant OpenSSL deviennent cassés, et doivent être recompilés.
En même temps, cette mise à jour corrige de nombreuses failles et bulletins de sécurité, il ne faut pas l’ignorer.
https://www.openssl.org/news/secadv/20160301.txt
Voici le lien vers le message d’annonce de cette nouvelle version, qui indique que SSLv2 est supprimé, en plus d’être désactivé (euh ?).
https://marc.ttias.be/openssl-announce/2016-03/msg00002.php
EDIT 23:09+01:00: un article en français, parlant de l'attaque DROWN (Decrypting RSA using Obsolete and Weakened eNcryption) http://www.numerama.com/tech/149306-drown-un-tiers-des-serveurs-https-est-vulnerable-a-une-nouvelle-faille-critique.html
Avec un site Web, et un outil :
https://drownattack.com/
https://github.com/nimia/public_drown_scanner
Plus d’articles :
http://www.zdnet.com/article/dont-let-your-openssl-secured-web-sites-drown/
EDIT 2015-03-05 : Article de Bortzmeyer https://www.bortzmeyer.org/drown.html- https://bugs.gentoo.org/show_bug.cgi?id=575548#c3