https://www.hardening-consulting.com/frTue, 18 Feb 2025 22:51:03 GMTNikola (getnikola.com)http://blogs.law.harvard.edu/tech/rsshttps://www.hardening-consulting.com/posts/20140512openssl-et-valgrind.htmlDavid FORT<div><p><img class="alignright" src="https://www.hardening-consulting.com/images/valgrind.png"></p> <h2>Le problème</h2> <p>OpenSSL a la "bonne" idée de vouloir fabriquer de l'entropie en se servant de la pile comme une source de valeurs "au hasard". C'est une entropie toute relative, qui a d'ailleurs donné le bug <a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0166">debian</a> de 2008: le mainteneur debian d'openssl était agacé des erreurs de variables non-initialisées remontées par valgrind. Il a introduit un correctif enlevant les erreurs valgrind, mais réduisant les nombres aléatoires générés à quelques millions ce qui permettait de lister toutes les clés possibles. Une belle conséquence avec tout le matériel cryptographique généré avec cette version d'openSSL à recréer, et sûrement des serveurs qui tourne encore avec des clés facilement devinables.</p> <p>Bon c'est bien beau, le mainteneur debian a fait son méa-culpa, mais on est quand même bien embêté par toutes ces erreurs de valgrind quand on a le malheur de faire un peu de SSL. </p> <p><a href="https://www.hardening-consulting.com/posts/20140512openssl-et-valgrind.html">Lire la suite…</a> (Il reste encore 3 min. de lecture)</p></div>Copensslvalgrindhttps://www.hardening-consulting.com/posts/20140512openssl-et-valgrind.htmlMon, 12 May 2014 13:03:19 GMT