Мне кажется что когда одним можно срать по всей планете и все настолько к этому привыкают что бревна в их глазу не видят зато в редхатовском глазу разглядели соринку - это немного попахивает двойными стандартами.Нет, редхату конечно незачот но в конце концов они для клиентов выпустили решение и приняли меры.И при том не тянули месяц как одна всем известная контора.У меня к ним ровно 1 претензия - не вижу полной картины случившегося и описания методов хакеров(как они вообще это сделали и как отличить трояненый ssh от обычного).Что усложняет ситуацию если у вас не редхат (если например есть неизвестная дыра, врядли хакеры ограничатся только редхатом).

Смерть одного человека — это смерть, а смерть двух миллионов — только статистика

Из романа (гл. 8) «Черный обелиск» (1956) немецкого писателя Эриха Марии Ремарка (1898—1970), автора многих антивоенных романов, в которых говорится о судьбах так называемого потерянного поколения, пережившего Первую мировую войну.

Иногда фраза встречается в форме: «Смерть одного человека — это трагедия, смерть двух миллионов человек — только статистика».

Смысл выражения: человеку свойственно привыкать к чужой смерти, к массовым жертвам, при условии, что он имеет возможность смотреть на них со стороны.

ТОЛЬКО если есть поддержка логов на уровне местного админа :) :) :)

Угу, а хакеры по вашему клинические дебилы?Знаете сколько есть методов сделать все и вся анонимно или от лица левой персоны?Как пример: 5 минут вардрайвинга и весь хак якобы осуществил какой-то лох, забывший про использование WPA.При слове логи чувак с таким уровнем развития только похлопает глазами.И даже если вы засунете ему в зад паяльник - ему не в чем признаваться.Ну разве что в том что он - дебил.

Эт-та... а куда универсальней быть решению проблемы с конкретным неавторизованным использованием ключа?

Не ограничатся, разумеется -- будут другие проблемы и другие решения.  C'est la vie.

Скажи чем в данном контексте отличается "стырили" от "взлом"? Почему им тогда не написать КАК они его стырили...стырили рутовые пароли от репозиториев дяди феди в красной шляпе, ась? И действительно ли были стырены пароли, или всё же имел место какой-то другой способ получения рутового шела, у??

Дык блин, ну и где описание метода взлома?И хотя-бы какое-либо описание что из себя представляет этот троян??? (как работает, какие подстроки характерные, etc).Открытость какая-то половинчатая: наличие проблем где либо еще кроме редхата по такой информации не проверишь нифига.

Я бы не стал смешивать "грамотность" и "активность" (в угоду линтерам и valgrind'ам).

>"Так ли вы уверенны в своём дистрибутиве чтобы говорить об отсутствии подобных
>ошибок в нём?"

В нашем покамест _таких_ не замечено.  Разумеется, гарантий это никаких не даёт...

+1

http://www.gnu.org/software/gnutls/manual/gnutls.html#Compatibility-with-the-
скорее-бы допилили -- а то на моей памяти openssl всё чинят и чинят

Да потому и стоит.Я уважаю их за проделанную работу.Но хочу все-таки сказать что не надо совать лапы в криптографический код.Особенно в такие места.Не надо пытаться быть святее папы римского.Чревато, как видим.

>Вы так рады увидеть соломинку в чужом глазу?

Чужом?Если бы :( за***лся ключи в пожарном порядке перегенерять.В убунтах и дебианах прежде всего.Сколько их таких хороших в других системах осело - а хрен его знает.Теперь за счет такой деятельности SSL и SSH далеко не столь иж и Secure, потому как проблемных сертификатов и ключей наверняка еще вагоны.

>Если бы программисты использовали в качестве источника энтропии /dev/urandom, этого
>бы не произошло.

А, раз вы в этом шарите тогда кстати прокомментируйте - а что с этим девайсом в Дебиане за приколы? Вот тут: http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=350396

Это что еще за баг такой?Упорно не вдупляю в суть предъяв aMule'у.Заголовок бага выглядит как фантастика или сказка.Или просто суровый стеб.Что за  .. ?Дескать слишком много юзают девайс.Эээ а он разве не для того сделан чтобы юзать?

IMHO, использовать неинициализированные данные из необнулённых страниц можно только в качестве ДОПОЛНЕНИЯ к другим источникам энтропии. Надо взять системное время (желательно в тактах процессора - чем подробнее, тем лучше), температуру процессора (чем больше цифр после точки - тем лучше, и неважно, насколько точно число отражает реальную температуру), кусок неинициализированных данных, значения системных счётчиков; всё это слить в одну строкУ и взять от неё hash.

Вот оно! Именно этого комментария я и искал!

И действительно, за самочинное исправление неинициализированной переменной в незнакомом коде, где нужна дешевая энтропия, мантайнера-дебиановца надлежит наказать не столько за само самоуправство, сколько за то, что не просигналил девелоперам.

Потому как тут ящик с тройным дном может оказаться.

Из каких соображений авторы openssh предпочли просто не проинициализировать тот массив, а не написать туда что-то на манер текущая_секунда по модулю текущая_минута (насчет доступности /dev/urandom -- а оно, кстати, есть ли на всех системах?) Ведь так же просто, издержки минимальные, и gcc ругаться не будет.

С другой стороны, непроинициализированные переменные ловятся компиляторами с доисторических времен, и уж автор определенно знал о том массиве. Знал, но таки ж оставил!

Нет, я все никак не могу вкурить и поверить, что такой сурьезный прожект -- и вот так по-школьному решает добывать энтропию.

Кто действительно шарит и потрудился посмотреть в код и в дебиановский патч -- растолкуйте, действительно ли все так просто и самонадеянно там?