En Agosto del año pasado, el proyecto Fedora anunció que sus servidores habían sido comprometidos. Ahora, 6 meses después y tras una exhaustiva investigación, Red Hat nos explica que es lo que pasó.
De acuerdo con Paul Frields, líder del proyecto Fedora, la intrusión no se realizó a través de ninguna vulnerabilidad en el software de los servidores de Fedora, sino que aprovecharon una clave SSH que no estaba debidamente asegurada. La clave SSH perteneciente a un administrador de Fedora se utilizó por el atacante para crear una versión modificada de OpenSSH y RPM. Esto es muy grave, ya que significa que el intruso podría haber modificado y desmantelado todos los paquetes de Fedora. Por fortuna, la cosa no sucedió así…
“El intruso modificó los paquetes, y la modificación del paquete SSH pudo hacer que capturara contraseñas durante un corto periodo de tiempo. Sin embargo, la investigación apoya la conclusión de que la modificación de paquetes se detectó antes de que alguien accediera al sistema y firmara los paquetes RPM modificados.”
Por lo tanto es una “buena/mala” noticia, ya que el servidor de Fedora pudo ser comprometido, pero Fedora solucionó el problema rápidamente, evitando la catástrofe.
“Nuestro análisis apoya nuestros resultados iniciales. En el proyecto Fedora no se ha registrado ninguna infraestructura de software comprometida por la intrusión en ninguno de los mirrors, ni en el repositorio maestro encargado de sincronizar el contenido. Nuestra investigación también muestra que los afectados por la intrusión son sólo unos pocos servidores de Fedora, lo que nos permite tener mayor confianza en nuestro trabajo actual y futuro.”
También es una buena noticia que el software de Fedora no fuera vulnerable, lo que habría significado millones de servidores de Fedora por todo el mundo comprometidos. Estamos por lo tanto, ante un simple caso de clave SSH “débil” que, de haberse utilizado una passphrasse, la intrusión hubiera quedado en nada. Fedora exige desde ahora que todos los administradores del sistema utilicen SSH passphrasse.
OpenSSH por defecto encripta con 3DES, para proteger la clave privada se usa una passphrase de entre 10 y 30 caracteres que no sea simple de deducir o inferir. Esa frase se pasa por una hash para obtener la cantidad de bits necesarios y se usa para encriptar la mitad privada. - Balug.org.ar
Fedora ha hecho lo correcto realizando una investigación completa y abierta, explicando lo que sucedió exactamente. La lección para todos aquellos que administréis servidores son obvias…
También publicado en Historias De Queso
Si quieres firmar tus comentarios, regístrate o inicia sesión »
En este espacio aparecerán los comentarios a los que hagas referencia. Por ejemplo, si escribes "comentario nº 3" en la caja de la izquierda, podrás ver el contenido de ese comentario aquí. Así te aseguras de que tu referencia es la correcta. No se permite código HTML en los comentarios.
Soitu.es se despide 22 meses después de iniciar su andadura en la Red. Con tristeza pero con mucha gratitud a todos vosotros.
Fuimos a EEUU a probar su tren. Aquí están las conclusiones. Mal, mal...
Algunos países ven esta práctica más cerca del soborno.
A la 'excelencia general' entre los medios grandes en lengua no inglesa.
Caminante no hay camino, se hace camino al andar. Citar este verso de Machado no puede ser más ocurrente al hablar de Mariano Rajoy. Tras la renuncia de Zapatero y las voces que señalan que la estrategia popular podría verse dañada, es necesario preguntarse algo. ¿Ha hecho camino Rajoy? ¿Se ha preparado para ser presidente? Quizás la respuesta sorprenda.
En: E-Campany@
Recomendación: Albert Medrán
“Algunos luchamos por tener los pies en suelo.” Lo decía ayer en su Twitter Raül Romeva, uno de los cuatro eurodiputados españoles (Oriol Junqueras, de ERC, Ramon Tremosa, de CiU, Rosa Estarás del PP y él, de ICV) que apoyaron la enmienda para evitar que el presupuesto comunitario de 2012 contemple los vuelos en primera clase de los parlamentarios europeos. No era una excepción. Lo escribía ahí porque es lo que hace siempre: ser transparente.
En: E-Campany@
Recomendación: Albert Medrán
Son los cien primeros, como podrían ser doscientos o diez. Lo importante es el concepto. La idea de tener unos días para llevar a cabo la transición desde la oposición al gobierno. Del banquillo, a llevar el dorsal titular. Nunca tendremos una segunda oportunidad de crear una buena primera impresión. Y los cien primeros días son esa primera impresión. Veamos su importancia.
En: E-Campany@
Recomendación: Albert Medrán
“Os propongo que sea el Comité Federal, en la próxima reunión que tengamos, después de las elecciones autonómicas y municipales, el que fije el momento de activar el proceso de primarias previsto en los Estatutos del partido para elegir nuestra candidatura a las próximas elecciones generales.” De esta manera, Zapatero ha puesto las primarias en el punto de mira tras anunciar que no será candidato a la reelección. Tras este anuncio, observamos algunas reflexiones sobre el proceso
En: E-Campany@
Recomendación: Albert Medrán
![[Premio ONA a la excelencia en webs de habla no inglesa]](/soitu/cajas/portada/img/2009/10/premio_ona/premio_ona2009.png)
![[Premio al mejor diseño en internet y a la innovación]](/soitu/cajas/portada/img/2008/09/premio_snd.png){kind=small}
|
Condiciones de Uso | Protección de Datos | Aviso Legal | Creative Commons
![[uno de los nuestros]](/soitu/iconos/v1.x/v1.0/varios/actualidad/post_lector.png)
Lo sentimos, no puedes comentar esta noticia si no eres un usuario registrado y has iniciado sesión.
Si quieres, puedes registrarte o, si ya lo estás, iniciar sesión ahora.