SSH : Public Key blacklisted ! Résolu/Fermé

Question

Bonjour,

je pense avoir trouvé le pourquoi, je donne quand même les infos :

redfox@debian:~/.ssh$ ssh redfox@mandriva
Public key 70:3b:99:89:dc:d4:f2:a7:75:c5:72:e6:84:c6:b2:09 blacklisted (see ssh-vulnkey(1)); refusing to send it
Permission denied (publickey).
redfox@debian:~/.ssh$

redfox@debian:~/.ssh$ ssh-vulnkey 
/home/redfox/.ssh/id_rsa:1: COMPROMISED: RSA 2048 70:3b:99:89:dc:d4:f2:a7:75:c5:72:e6:84:c6:b2:09 /home/redfox/.ssh/id_rsa.pub
#
# Some keys on your system have been compromised!
# You must replace them using ssh-keygen(1).
#
# See the ssh-vulnkey(1) manual page for further advice.
redfox@debian:~/.ssh$

ok ! une petite recherche me fait arrivé ici :
http://forum.ubuntu-fr.org/viewtopic.php?id=218862
qui ceci : ta clé doit faire partie des clés blacklistées (suite à la découverte du bug dans le paquet openssl)
je te conseille donc de mettre à jour openssl sur le client, de regénérer ta clé et de l'autoriser de nouveau sur le serveur (mets de nouveau à jour le fichier authorized_keys)

... à suivre


ps : cela fonctionne très bien dans le sens Mandriva -> Debian

bob031 · Answer

je me rajoute d'autres liens :
https://www.cyberciti.biz/faq/linux-publickey-blacklisted-see-ssh-vulnkey1-error/
http://www.civicactions.com/blog/howto_secure_your_ssh_ssl_and_openvpn_keys_generated_on_debian_ubuntu_and_related_distributions

bob031 · Answer

je pense avoir mis le doigt sur quelque chose d'intéressant :

ROME, Italy, May 14th, 2008 - A vulnerability affecting the generation
of the encryption keys has been discovered on Debian-based operating
systems shipping OpenSSL version 0.9.8c-1 up to 0.9.8g-9 .

More information is available at:

https://www.debian.org/security/2008/dsa-1571
https://usn.ubuntu.com/612-2/

source : https://www.nomachine.com/news

ça fait peur :
http://commandline.org.uk/linux/2008/may/14/swap-out-your-ssh-keys/

bon je m'arrête là ! j'ai pas envie de me prendre la tête à régénérer les clés pour la debian et la ( mandriva ou la fedora ou la gentoo) et dans les deux sens en plus !

bob031 · Answer

Mais le pire est que les autres distrib peuvent être compromises en acceptant une clé vulnérable. Enfin les clés RSA moins que les clés DSA.

merci pour l'info ! 

va falloir tout changer sur mes distributions alors ...   :-/

bob031 · Answer

ok ! corriger en utilisant DSA cette fois-ci !

j'ai usé de ce tuto :
http://www.linux-france.org/prj/edu/archinet/systeme/ch13s03.html

ok pour debian et fedora
todo : mandriva et gentoo.

<EDIT : toujours le même message dans le sens Debian -> Mandriva : même avec RSA, décidemment !!!!)

bob031 · Answer

toujours le même message dans le sens Debian -> Mandriva : même avec RSA

résolu pour la mandriva !

bob031 · Answer

bonjour,

de la lecture :

http://www.libordux.org/doc/debian/security.php

SSH : Public Key blacklisted !

6 réponses

Discussions similaires