NetBSD a publié un avis de sécurité concernant un problème de fiabilité du générateur de nombres aléatoires sur les systèmes NetBSD. Bien que ce problème soit très spécifique à l'architecture matérielle de la plate-forme exécutant le système NetBSD, il nous a paru intéressant de le signaler car la génération des nombres aléatoires est couramment utilisée par des logiciels de sécurité comme SSH, SSL, PGP.

Lorsqu'Intel a développé les cartes mères i8xx pour les processeurs x86, une puce ("chip" 82802), appelée "firmware hub", a également été introduite. L’une des fonctionnalités fournies par cette puce est un équipement physique ("hardware") permettant de générer des nombres aléatoires.

Sur les systèmes NetBSD, le pilote ("driver") du générateur de nombre aléatoire RNG ("Random Number Generator") détecte par erreur la présence de ce "hardware" sur certains équipements qui n'en sont pas pourvus. Le pilote fournira en conséquence un nombre constant au moteur d’entropie "rnd" ("entropy pool") utilisé par le noyau NetBSD.

Les applications reposant sur "rnd(4)" pour obtenir des nombres aléatoires pour générer des clés cryptographiques (comme SSH ou GnuPG) auront des résultats de faible qualité ou trop prédictibles.

Nota : Ce problème affecte seulement les systèmes NetBSD qui utilisent une carte mère i8xx pour les processeurs x86.

Des correctifs sont disponibles chez NetBSD. Reportez-vous à l’avis NetBSD pour obtenir plus de détails sur ces derniers.

Pour plus d’information :

• Avis de sécurité de NetBSD : ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2006-009.txt.asc
• Référence CVE : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-1833