Dobrý den

Omlouvám se za nekompletní odpověď včera večer, bylo už trochu pozdě. Tak tedy o něco kompletnější odpověď.

Ten vyměněný certifikát byl na turris.cz, api.turris.cz je zatím ve frontě .

Na api.turris.cz jsou opravdu dva certifikáty. Jeden je na 443/https, přes který se jednak uploadují nějaké logy, jednak stahují updaty. Ten je od CA, aby tam šlo i lézt přes prohlížeč a stahovat si image, například. Druhý je na 5678, kam se připojuje ucollect a tam máme self-signed kontrolovaný přímo přes zmíněný soubor. Oba ještě potřebují vyměnit, ale ještě na ně nedošla řada. Jednak potřebujeme zjistit, že tím něco zcela nerozbijeme (ono by nepomohlo vyměnit certifikát takovým způsobem, že by si routery už nestáhly žádný update, tedy ani svoji vlastní opravu openSSL). Jednak, dopad na těchto certifikátech je trochu menší, než jinde, protože:

• Ucollect má na serveru jeden proces na spojení, který zařizuje jen šifrování. Tedy, jediné, co se z něj dalo vycucnout je ten certifikát. Neříkám, že je to málo, ale rozhodně je to víc práce jej použít k útoku (byl by potřeba MITM útok), než vycucnutí nějakého hesla.
• Na tom 443 se routery authentikují přes challenge-response, heslo přes to spojení nejde a ani serverový proces to heslo nezná ‒ to kontroluje ještě jiný proces na jiném serveru za firewallem. Všechny updaty jsou ještě navíc podepsané RSA klíčem, opět na serveru za firewallem.

Každopádně, jestli vše půjde podle plánu, tak oprava i nové certifikáty budou dnes. Jdu se jim věnovat.

Balíčky naštěstí ne. Na kradení klíčů a nabourávání serveru jsme mysleli, přesně z toho důvodu jsou updaty ještě podepsané na jiném stroji RSA klíčem. Podvržení jiných balíčků neprojde.