Vulnerabilidad en OpenSSH y OpenSSL
Acababa de sentarme en mi máquina y comenzaba a revisar mis feeds con Google Reader, cuando leo en Criado Indomable que un argentino descubrió una vulnerabilidad en la libssl.
¡Pucha digo! Voy a tener que revisar mi Hardy. Así que, si bien en mi caso la vulnerabilidad podía afectarme poco y nada porque no había usado SSH todavía en esta instalación y tengo bloqueado el puerto del ssh (cosa que hice con un frontend para ipTables llamado Firestarter), no estaba demás comprobarlo.
Fué así que busqué y encontré en Ubuntips un artículo que dice cómo testear la vulnerabilidad (traducido de Ubuntu Tutorials) mediante un script.
Mientras leía el mini howto, veo en el tray de Gnome, el ícono de actualización encendido. Cliqueo y, para mi sorpresa, allí estaba la actualización de la libssl y todo lo que tuviera que ver con ella ¡Que buena tapada de boca para los defensores del soporte pago!
No obstante, hice la prueba luego de la actualización, y no reveló debilidades.
Para descargar el script, se puede ejecutar desde la consola:
wget -c http://security.debian.org/project/extra/dowkd/dowkd.pl.gz
A continuación lo descomprimimos:
gunzip dowkd.pl.gz
Le damos permiso de ejecución:
chmod u+x dowkd.pl
Y ejecutamos los siguientes comandos:
1)./dowkd.pl user
2)./dowkd.pl host hostname
(Así como dice arriba, textual… sin los números, claro.).
Si en alguna línea de la salida aparece el término weak key, significa que nuestra clave ssh se encuentra comprometida. Si no, no hay problemas.
¿Cómo solucionar la vulnerabilidad?
Bueno, es sencillo, asegurate de actualizar los paquetes:
sudo apt-get update
sudo apt-get upgrade
Luego, en caso de que weak key haya aparecido al ejecutar el primer script, deberías regenerar todas tus claves:
ssh-keygen -t dsa -b 1024
Si apareció la debilidad al ejecutar el segundo script:
sudo rm /etc/ssh/ssh_host_{dsa,rsa}_key*
sudo dpkg-reconfigure -plow openssh-server
Una vez hecho esto, corres el script nuevamente. Si todavía ves advertencias como esta:
/home/usuario/.ssh/authorized_hosts:1: weak key
Significa que todavía tenés claves autorizadas que son débiles.
Abrí el archivo /home/usuario/.ssh/authorized_hosts con tu editor favorito y borrá la línea afectada (en el ejemplo, la 1). Y repetí el proceso hasta que no aparezca más el maldito weak key.
Actualización:
Bueno ¿Te gustó el artículo? Ahora imprimilo, hacé un conito y metételo en el culo. Ni bien estoy terminando de escribir esto, me entero por Mundo Libre que la actualización instala un paquete para testear todo en un sólo paso. Simplemente se ejecuta ssh-vulnkey -a. Con eso sabés si existen vulnerabilidades. La solución es la misma que escribí arriba.
¡Si el soporte y las actualizaciones de windows fueran tan efectivas como estas!…
Escorpiano promedio (más bien de promedio para abajo), nacido el 28 de octubre de 1977 en la húmeda e “inundable” ciudad de Santa Fe, Argentina.
