[bglug] Linux Mint hacked!

[Dario Bertini]

2016-02-21 21:19 GMT+00:00 Daniele Pitrolo <d.pitrolo@gmx.com>:
>> Ieri il sito di Linux Mint è stato compromesso e una delle ISO è stata
>> sostituita con una versione modificata contenente una backdoor.
>>
>> Qui tutti i dettagli:
>> http://blog.linuxmint.com/?p=2994
>
> E qui un utile richiamo: MD5 non è più una garanzia.
>
> https://micahflee.com/2016/02/backdoored-linux-mint-and-the-perils-of-checksums/
>

Per mettere i puntini sull i:

Preimage attack su MD5 sono ancora solo teorici, e difatti MD5 non ha
alcuna rilevanza sulla compromissione di Linux Mint.

Infatti, la compromissione è stata identificata anche grazie al fatto
che i checksum non corrispondevano a quelli su altri mirror.

md5 bisogna abbandonarlo, ma bisognerebbe abbandonare anche wordpress,
phpbb e compagnia

Concordo che l'ideale non è un semplice hash, ma usare un meccanismo
di pub/private key.

Sia questo Signify o Gpg (il primo è un'alternativa più semplice, e un
po' più ad hoc)

http://www.openbsd.org/papers/bsdcan-signify.html
https://github.com/aperezdc/signify
https://www.gnupg.org/