|
知名 SSH 客戶端 PuTTY 日前被發(fā)現(xiàn)一枚高危安全漏洞，高危個(gè)版該漏洞廣泛影響 PuTTY 各個(gè)版本，漏洞藍(lán)點(diǎn)包括：0.68、預(yù)警用慌常州外圍美女（電話微信199-7144-9724）提供頂級(jí)外圍，空姐，網(wǎng)紅，明星，車模等優(yōu)質(zhì)資源，可滿足你的一切要求0.69、多洞0.70、本出0.71、現(xiàn)高泄露0.72、危漏網(wǎng)0.73、私鑰0.74、高危個(gè)版常州外圍美女（電話微信199-7144-9724）提供頂級(jí)外圍，空姐，網(wǎng)紅，明星，車模等優(yōu)質(zhì)資源，可滿足你的一切要求0.75、漏洞藍(lán)點(diǎn)0.76、預(yù)警用慌0.77、多洞0.78、本出0.79、現(xiàn)高泄露0.80 版。危漏網(wǎng) 是不是發(fā)現(xiàn)漏了一個(gè)版本？是的 PuTTY 0.67 版是不受影響的，目前該漏洞計(jì)劃是在 0.81 版中修復(fù)，該版本尚未發(fā)布。
根據(jù)說明 PuTTY 從 0.68~0.80 版中使用 NIST P521 橢圓曲線算法 (ECDSA) 私鑰生成簽名的代碼存在嚴(yán)重漏洞，當(dāng) PuTTY 使用密鑰向 SSH 服務(wù)器驗(yàn)證身份時(shí)就會(huì)生成簽名。 壞消息是這個(gè)安全漏洞會(huì)泄露用戶使用的私鑰，當(dāng)攻擊者拿到幾十條簽名消息和公鑰后就可以用來恢復(fù)私鑰然后偽造簽名，接著攻擊者就可以登錄服務(wù)器進(jìn)行各種操作了。 作為安全建議 PuTTY 建議用戶從服務(wù)器中刪除舊公鑰文件 authorized_keys，其他 SSH 服務(wù)器中的等效密鑰也應(yīng)該刪除，這樣密鑰的簽名文件就不具備任何作用，再生成一對(duì)新密鑰替換即可。 好消息是目前經(jīng)過檢查唯一受影響的密鑰類型為 521 位 ECDSA，也就是說用戶如果使用的是其他類型的密鑰那么是不受影響的，包括 ED25519 等也都不受影響。 如何檢查密鑰類型：Windows PuTTYgen 生成器中可以看到密鑰指紋的提示框，包括 ecdsa-sha2-nistp521 等，或者加載到 Windows Pageant 中的描述為 NIST p521，也就是看到提示或描述中帶有 p521 那就是受影響的密鑰類型。 為了徹底解決這個(gè)漏洞，PuTTY 0.80 版計(jì)劃完全放棄用于生成密鑰的舊系統(tǒng)，同時(shí)將所有 DSA 和 ECDSA 密鑰類型切換到 RFC 6979 標(biāo)準(zhǔn)。 技術(shù)細(xì)節(jié)：https://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/vuln-p521-bias.html |
