Faille de sécurité dans le paquet Debian d'OpenSSL

Tout le web en a parlé. Il y a eu même un post sur Slashdot. Le mainteneur Debian d'OpenSSL a intégré un patch au paquet qui a introduit une grosse faille de sécurité qui remet en cause toutes les connexions SSH, les certificats SSL, etc ... Le patch en question servait à résoudre un problème (Bug #363516) mineur (tellement mineur, qu'il était taggué wishlist). Le patch peut être consulté dans le paquet Debian cassé ou simplement en visitant cette page. Ce qui est fou dans l'histoire, c'est que le bug y était depuis 2006 ! Cela concerne donc toutes les clés qui ont été générées à partir du 07/09/2006 à ce jour.

Pour plus de détails sur ce bug, vous pouvez consulter l'annonce de sécurité faite par Debian : http://lists.debian.org/debian-security-announce/2008/msg00152.html. Profitez-en pour télécharger le programme dowkd.pl pour vérifier si vous avez des clés faibles sur votre système.

Mieux vaut donc mettre à jour votre système avec les nouveaux paquets corrigés et tous les programmes qui en dépendent (comme openssh-server, openvpn). Il est important de noter que cette faille affecte toutes les autres distributions basées sur Debian (etch/lenny/sid), même Ubuntu (Toutes les versions à partir de la 7.04). N'oubliez surtout pas donc vos clés SSH (RSA/DSA), votre fichier ~/.ssh/authorized_keys, les clés de votre serveur SSH, vos certificats, etc ...

Beaucoup de gens semblent vraiment en vouloir au mainteneur du paquet d'OpenSSL. Julien BLACHE veut carrément une nouvelle équipe pour ce paquet critique. Mais, avant de prendre de telles décisions, il faut remarquer qu'il y avait un bug #332498 RFH (Request For Help). Les mainteneurs avaient clairement besoin d'aide et personne (ou presque) ne s'est proposé pour les aider. Donc à qui la faute finalement ? Je ne pense pas que le mainteneur soit le seul fautif. En fait, sa seule faute, (d'après moi), c'est de ne pas avoir montré le patch qu'il avait fait à l'équipe d'OpenSSL. Je pense qu'ils auraient vu le problème et auraient averti le mainteneur.

On verra bien comment cette histoire va évoluer au sein du projet Debian. J'espère qu'il en ressortira du bien ...

Update: Le patch proposé par le mainteneur a bien été discuté sur la liste de développement OpenSSL-dev. Et l'équipe d'OpenSSL n'avait pas trouvé quelques chose de louche dans le code modifié. L'équipe OpenSSL de Debian n'a donc rien à se reprocher. Le lien : http://marc.info/?l=openssl-dev&m=114651085826293&w=2

Update 2 : Décidément, cette histoire ne va pas finir. En fait, le développeur Debian aurait bien discuté la modification avec les développeurs de OpenSSL (comme vous le montre le lien dans le premier Update). Mais, il a fait la même modification à d'autres endroits du code où ca crée un problème.

Update 3 : Quelques explications sont sur cette page SSLKeys. Et les patch intéressants : patch contenant le bug et patch correcteur. Notez que le patch correcteur date du 7 mai, soit 5 jours avant l'annonce du bug !