Heartbleed - vulnerabilitate OpenSSL

Salutare

daca aveti servere în administrare și n-ati facut-o deja, vă invit să actualizați cât mai repede librăria OpenSSL.

https://cve.mitre.org/cgi-bin/cvenam...=CVE-2014-0160


Pentru CentOS:
- accesati consola serverului cu drepturi administrative (root)
- lansati comanda "yum update openssl";
- restartati serverul

va fi instalata o versiune ce rezolvă temporar problema, până la lansarea unui pachet dinspre versiunea Enterprise
(anuntul e aici: [CentOS-announce] CVE-2014-0160 CentOS 6 openssl heartbleed workaround)

Pentru Ubuntu: security - How to patch CVE-2014-0160 in OpenSSL? - Ask Ubuntu

Pentru restul: guugle

Sincer sa fiu dupa stirea cum ca NSA a inceput deja rescrierea algoritmului pt SSL pt a lasa o portita de intrare si au inceput sa o implementeze in rooterele care ies pe piata fabricate in SUA, imi pun mari semne de intrebare asupra bugului asta care a aparut peste noapte si totusi Open SSL este de mult mult timp in folosinta.

In orice caz o sa ma documentez bine despre acest bug insa la alte buguri importante nu s-a facut un site special si nu a explodat media IT ca pana acum https://heartbleed.com/
Cu o astfel de stire se poate updata o mare parte din serverele mondiale cu un alt "bug".
Pt mine ramane suspecta treaba asta


"However, Adam Langley, a Google security expert who helped close the OpenSSL hole, said his testing didn't reveal information as sensitive as secret keys. "When testing the OpenSSL heartbeat fix I never got key material from servers, only old connection buffers. (That includes cookies though.)," Langley said on Twitter."

@deadworldisee , deocamdată astea sunt informațiile "oficiale" pe care le avem.

Putem să lăsăm lucrurile să curgă de la sine (așa cum mulți au pățit-o cu Slammer), sau putem urma pașii obișnuiți pentru închiderea unei vulnerabilități.
Totul depinde de miza jocului: e un home-router cu managementul prin https sau e un site de plăți online ? Ce pierd dacă implementez măsurile de securitate ? Ce risc dacă nu le aplic ? Am alternative ?


My2c

PS: puteti testa serverele la http://filippo.io/Heartbleed/

Inainte de update este recomandat sa faceti un pic de curatenie in yum:

yum clean metadata
yum clean headers
yum clean packages
yum clean all
yum check update
yum update openssl

Dupa update este suficient un restart la ngnix/apache nu trebuie restartat serverul.

Un alt script cu care puteti testa daca sunteti expusi vulnerabilitatii: https://www.mattslifebytes.com/?p=533

Lista unor mari siteuri afectate de aceasta vulnerabilitate. Amazon - nota 10, ca de fiecare data. La restul aveti de schimbat ceva parole :)

Resalut

pentru teste esxtinse (sunt verificati si alti parametri ssl), recomand si https://www.ssllabs.com/ssltest/

Legat de Heartbleed, better safe than sorry:

Pentru furnizori:
- regenerati certificatele ssl la serverele pe care le controlati;
- schimbati parolele de acces la servicii

Pentru clienti:
- cereti furnizorilor detalii despre vulnerabilitate: este serviciul afectat, au luat masuri, etc ...
- schimbati toate parolele de la serviciile online (dureros, dar in acest caz paranoia e buna).