Una patch mette in ginocchio Debian

In tema di pacchettizzazione possiamo distinguere le distribuzioni che preferiscono lasciare inalterati i pacchetti da quelle che optano per una personalizzazione massiccia degli stessi. La personalizzazione dei sorgenti non è di per sé un problema ma, quando la modifica introduce una grave vulnerabilità, gli effetti di tale decisione ricadono anche su tutte le distribuzioni derivate. Questo è quanto accaduto al pacchetto openssl in Debian, modificato da uno sviluppatore per correggere un errore riscontrato durante l’analisi con Valgrind. Peccato che la modifica abbia reso vulnerabili tutte le chiavi crittografiche generate su un’installazione di Debian Etch (e derivate). A seguire, le conseguenze in dettaglio e le soluzioni al problema. Partiamo dalle conseguenze: le chiavi SSH/OpenVPN/DNSSEC e quelle utilizzate in certificati X.509 e connessioni SSL/TLS create su macchine Debian a partire dal 17 settembre 2006 (data dell’entrata del pacchetto incriminato in un...