Was kann ich mit dem Heartbleed-Fehler für die von mir betriebenen Websites tun?

1574
Matt Cruikshank

Der kürzlich angekündigte Heartbleed-Fehler in OpenSSL betrifft viele Websites (70% des Internets).

Es gibt eine Website:

http://www.heartbleed.com

Es gibt einen webbasierten Test:

http://filippo.io/Heartbleed/

Was muss ich tun, um meine Websites zu schützen?

9
Besser geantwortet auf [sf] - [Heartbleed: Was ist das und welche Optionen gibt es, um dies zu verringern?] (Http://serverfault.com/q/587329) Sathya vor 10 Jahren 6
… Sowie StackExchange für Sicherheitsprofis. Siehe http://security.stackexchange.com/questions/55076/ und http://security.stackexchange.com/questions/tagged/heartbleed. JdeBP vor 10 Jahren 5
Jede größere SE-Computer-Website hat jetzt diese Frage ... Wahrscheinlich wird es bald auch auf [cooking.stackexchange.com] (http://cooking.stackexchange.com/) gestellt: D VL-80 vor 10 Jahren 4
Ich habe eine Endbenutzerversion dieser Frage unter http://superuser.com/questions/739260/what-should-end-users-do-about-the-heartbleed-security-bug hinzugefügt (aber jemand hat sie bereits heruntergeladen ohne Erklärung). danorton vor 10 Jahren 0
@Nikolay, jetzt bin ich so versucht, es auf cooking.se zu fragen ... Joe vor 10 Jahren 1

3 Antworten auf die Frage

7
Executifs

Du solltest:

  • Aktualisieren Sie Ihr System auf die neueste OpenSSL-Version
  • Generieren Sie neue Schlüssel und Zertifikate für Dienste, die auf OpenSSL basieren, und starten Sie sie neu
  • Alte Zertifikate widerrufen
  • Alle bestehenden Sitzungen ungültig machen
Ich nehme nicht an, dass Sie einige klare Anweisungen für die letzten drei Schritte kennen, oder? Paul D. Waite vor 10 Jahren 0
Das Widerrufen und Regenerieren von Produktionszertifikaten umfasst normalerweise den Prozess, den Ihre Zertifizierungsstelle bereits installiert hat. Da das von einer CA zur nächsten variiert ... Roger Lipscombe vor 10 Jahren 0
Wie Sie Ihr System aktualisieren, hängt von Ihrem Paketmanager ab. Das Annullieren von Sitzungen ist von der Anwendung abhängig. Für Zertifikate müssen Sie sich an Ihre Zertifizierungsstelle wenden. Der erste Schritt sollte jedoch sein, einen neuen Schlüssel und eine neue CSR zu generieren: `openssl req -nodes -newkey rsa: 4096 -keyout post_heartbleed.key -out post_heartbleed.csr`! Executifs vor 10 Jahren 0
4
Matt Cruikshank

Gestohlen aus einem reddit Kommentar.

  1. Aktualisieren Sie Ihr System:

    sudo apt-get update sudo apt-get upgrade

  2. Starten Sie den Server neu

  3. openssl version -a um sicherzustellen, dass sie die neueste version haben !!

Das OP liefert! I am John Galt vor 10 Jahren 0
@IamJohnGalt Es ist nicht so, als wäre es ein verschlossener Safe oder so etwas. ;) Ƭᴇcʜιᴇ007 vor 10 Jahren 1
Dies ist ** nicht ** ausreichend. Die SSL-Schlüssel müssen ersetzt werden, ohne dass ein Patch Sie dennoch anfällig für den Schlüsseldiebstahl macht. Tyrsius vor 10 Jahren 14
Dies setzt voraus, dass Ihr System "apt-get" als Paketverwalter verwendet. Die Frage lässt nicht darauf schließen, dass dies notwendigerweise der Fall ist. Michael vor 10 Jahren 0
0
rleir

Speziell für Ubuntu oder Debian allgemein

/etc/init.d/apache2 stop aptitude update dpkg -l \*libssl\* aptitude safe-upgrade libssl1.0.0 dpkg -l \*libssl\* /etc/init.d/apache2 start

Ref http://www.ubuntu.com/usn/usn-2165-1/

Verwandte Probleme