[jayzee]

Ursprungligen postat av lazat

Hur många av er har skapat nya nycklar /certifikat? Tydligen så räcker det inte att fixa buggen om någon redan har exploitat den..

Det enda man behöver göra är att uppgradera libssl till senaste, antigen via valfri pakethanterare eller kompilera. *OM* du använder mySQL eller dylik mjukvara samt konfigurerar denna att använda openssl till privata/publika nycklarna kan attackeraren ha kommit åt de 64kb av minnet innehållande nyckeln - då skall du byta. Annars... nej.

[BarateaU]

Ursprungligen postat av coredev

Tyvärr så finns det garanterat fler buggar. Kanske inte så många av denna kalibern dock. Man kan ju bara gissa att NSA har massor med smarta personer som spenderar hela dagarna och går igenom kod för att leta svagheter.

Försöker minnas vart jag läste det nu men NSA ska tydligen ha fina avtal med exploit tjänster så de har säkert lite inhouse nissar och köper data av alla som erbjuder haxxning.

[zeven]

För den oinsatte: Vad betyder detta? Vad innebär det rent praktiskt? Finns det några åtgärder man kan göra om man t ex kör wordpress-sidor?

[weetabix]

Ursprungligen postat av zeven

För den oinsatte: Vad betyder detta? Vad innebär det rent praktiskt? Finns det några åtgärder man kan göra om man t ex kör wordpress-sidor?

Kolla med ditt webbhotell att dom har tagit nödvändiga åtgärder, och om du själv använder SSL så gör en reissue av dina cert om du vill vara helt säker.

[Vebut]

Ursprungligen postat av zeven

Vad betyder detta?

Det betyder att med tillräckligt många attacker kan attackeraren samla på sig tillräckligt mycket data för att utläsa något vettigt ur privata minnet på servern, t.ex. lösenord, kryperingsnycklar, signaler osv.

Det var begränsat till 64kb per request/attack om jag inte läst fel någon stans, så attacken borde ju utföras under en längre tid + att attackeraren sen också måste pussla ihop allt.

[MagnusJohansson]

Jag har säkert signat upp mig på över 500 webbtjänster genom åren varav runt 150 är använda senaste två åren. Jag har dock bara fått mail från 1 tjänst där dom uppmanar mig att logga in och byta lösen.

Ska man tolka det som att många avvaktar med att informera användare tills det eventuellt visar jag att illasinnade har varit medvetna om buggen lång tid eller vad tror ni?

[Johnny Viking]

Jag själv kollade min dedikerade cPanel server och den var automatiskt patchad den 8:e april så jag i changelogen. Dubbelkollade även med tjänsterna för att se om man är utsatt och klarade alla tester.

Sedan tror jag att många webbhotell automatiskt fixar detta utan att meddela kunder. Varför skapa oro om hålet automatiskt täppts.

[weetabix]

Ursprungligen postat av Johnny Viking

Jag själv kollade min dedikerade cPanel server och den var automatiskt patchad den 8:e april så jag i changelogen. Dubbelkollade även med tjänsterna för att se om man är utsatt och klarade alla tester.

Sedan tror jag att många webbhotell automatiskt fixar detta utan att meddela kunder. Varför skapa oro om hålet automatiskt täppts.

Även om man var snabb på att patcha, fanns det ett fönster där det var möjligt att enkelt läsa ut information ur servrar, och det borde vara oro nog för dom som har känsliga/viktiga tjänster.

Tex kan man ha läst ut krypteringsnycklar, användaruppgifter, mm som man kan använda efteråt även om hålen är tilltäppta.

[Clarence]

Ursprungligen postat av weetabix

Även om man var snabb på att patcha, fanns det ett fönster där det var möjligt att enkelt läsa ut information ur servrar, och det borde vara oro nog för dom som har känsliga/viktiga tjänster.

Tex kan man ha läst ut krypteringsnycklar, användaruppgifter, mm som man kan använda efteråt även om hålen är tilltäppta.

Fönster och fönster, det var 2 år sedan pull requesten som öppnade hålet;
https://github.com/openssl/openssl/c...2116ad75f822b1

[weetabix]

Ursprungligen postat av Clarence

Fönster och fönster, det var 2 år sedan pull requesten som öppnade hålet;
https://github.com/openssl/openssl/c...2116ad75f822b1

Ja, det är ett ganska stort fönster... mer som en garagedörr. =)

Dessutom skedde själva tillkännagivandet lite hastigt och slarvigt vilket inte har gett oss någon extra tid innan hålet var allmänt känt.