Apa yang harus saya lakukan tentang bug Heartbleed untuk situs yang saya jalankan?

Bug Heartbleed yang baru-baru ini diumumkan di OpenSSL memengaruhi banyak situs (70% dari internet).

Ada sebuah situs web:

http://www.heartbleed.com

Ada tes berbasis web:

http://filippo.io/Heartbleed/

Apa yang harus saya lakukan untuk melindungi situs yang saya jalankan?

openssl heartbleed

— Matt Cruikshank
sumber

Lebih baik dijawab di Server Fault - Heartbleed: Apa itu dan apa saja pilihan untuk mengurangi itu?

— Sathyajith Bhat

... serta StackExchange untuk profesional keamanan. Lihat security.stackexchange.com/questions/55076 dan security.stackexchange.com/questions/tagged/heartbleed .

— JdeBP

Setiap situs terkait komputer SE besar sekarang memiliki pertanyaan ini ... Mungkin akan segera ditanyakan bahkan pada cooking.stackexchange.com : D

— VL-80

Saya telah menambahkan versi pengguna akhir dari pertanyaan ini di superuser.com/questions/739260/… (tetapi seseorang telah menurunkannya, tanpa penjelasan).

— danorton

@Nikolay, sekarang saya sangat tergoda untuk menanyakannya pada cooking.se ...

— Joe

Jawaban:

Anda harus:

Perbarui sistem Anda ke versi OpenSSL terbaru
Hasilkan kunci dan sertifikat baru untuk layanan yang mengandalkan OpenSSL dan mulai kembali
Cabut sertifikat sebelumnya
Validasikan semua sesi yang ditetapkan

— Eksekutif
sumber

Saya kira Anda tidak mengetahui beberapa instruksi yang jelas dan bagus untuk tiga langkah terakhir, bukan?

— Paul D. Waite

Mencabut dan membuat ulang sertifikat produksi biasanya melibatkan proses apa pun yang sudah ada di CA Anda. Karena itu bervariasi dari satu CA ke yang berikutnya ...

— Roger Lipscombe

Cara memperbarui sistem Anda tergantung pada manajer paket Anda. Sesi validasi tergantung pada aplikasi. Adapun sertifikat, Anda harus kontak CA Anda, tetapi langkah pertama harus untuk membuat kunci baru dan CSR: openssl req -nodes -newkey rsa:4096 -keyout post_heartbleed.key -out post_heartbleed.csr!

— eksekutif

Dicuri dari komentar reddit.

Perbarui sistem Anda:

sudo apt-get update
sudo apt-get upgrade

Nyalakan ulang server
openssl version -a untuk memastikan Anda memiliki versi terbaru !!

— Matt Cruikshank
sumber

OP memberikan!

— Saya John Galt

@ IamJohnGalt Ini tidak seperti brankas yang terkunci atau sesuatu. ;)

— Ƭᴇcʜιᴇ007

Ini tidak cukup. Kunci SSL perlu diganti, tanpa melakukan itu patch akan tetap membuat Anda rentan terhadap pencurian kunci sebelumnya.

— Kyeotic

Ini mengasumsikan sistem Anda digunakan apt-getsebagai manajer paket Anda. Pertanyaannya tidak menyarankan bahwa ini adalah masalahnya.

— Michael

Lebih khusus untuk Ubuntu atau Debian secara umum

/etc/init.d/apache2 stop
aptitude update
dpkg -l \*libssl\*
aptitude safe-upgrade libssl1.0.0
dpkg -l \*libssl\*
/etc/init.d/apache2 start

Ref http://www.ubuntu.com/usn/usn-2165-1/

— tebing
sumber