Wie nutze ich das Internet, während Heartbleed repariert wird?

Question

Wie nutze ich das Internet, während Heartbleed repariert wird?

17027

Cristian Ciupitu 2014-04-09 в 04:55

Es gibt viele Websites, die derzeit nicht anfällig sind, aber ich habe keine Ahnung, ob sie vor einigen Tagen anfällig waren.

Zum Beispiel:

twitter.com: Momentan nicht anfällig, aber das Zertifikat stammt vom Mi Mar 05 00:00:00 UTC 2014
google.com: Im Moment nicht anfällig, aber das Zertifikat stammt vom Mi Mar 12 09:53:40 UTC 2014
bankofamerica.com: Momentan nicht anfällig, aber das Zertifikat stammt vom Do Dez 05 00:00:00 UTC 2013

Was mache ich? Verwenden Sie diese nicht, bis sie neu aufgelegt werden? Woher weiß ich, dass sie das Zertifikat mit neuen Schlüsseln erneut ausstellen? Es scheint, dass ich mich bei diesen Websites nicht einmal anmelden sollte, um mein Passwort zu ändern, da es keine Möglichkeit gibt, zu wissen, dass es sich um eine echte Website handelt.

119

Mögliches Duplikat von [Was sollten Endbenutzer bei Heartbleed tun?] (Http://security.stackexchange.com/questions/55083/what-should-end-users-do-about-heartbleed) auf security.stackexchange.com Philipp vor 10 Jahren 4

7 Antworten auf die Frage

201

14

el viejo 2014-04-09 в 22:35

Das Risiko dieser Sicherheitsanfälligkeit wird überhypert. Ich sage das, weil es NULL gibt, dass diese Sicherheitsanfälligkeit vor ihrer Veröffentlichung vor zwei Tagen von Forschern bekannt war oder ausgenutzt wurde.

Um es klar zu sagen: Es ist dringend geboten, verwundbare Websites, insbesondere solche, die sensible Daten über das Internet abwickeln, auf den neuesten Stand zu bringen. Ebenso wichtig ist es, dass Signaturen für den Angriff in IDS- und Malware-Schutztools geladen werden. Innerhalb der IT sollten wir auf diese Sicherheitsanfälligkeit mit der höchsten Priorität reagieren.

Ich bin jedoch der Ansicht, dass das mit dieser Anfälligkeit verbundene Risiko durch die öffentliche Presse nicht gerechtfertigt ist.

Was soll der Einzelne tun, um sich zu schützen? Verwenden Sie keine Websites, auf denen verwundbare Versionen von OpenSSL ausgeführt werden.

Bis und wenn keine Beweise vorliegen, dass diese Sicherheitsanfälligkeit ausgenutzt wurde, ist jede weitere Aktion sinnlos und nur durch FUD motiviert. Sie sind anderer Meinung? Berücksichtigen Sie die vielen Schwachstellen, die jeden Monat oder Quartal veröffentlicht werden und die Ausführung von beliebigem Code ermöglichen . Diejenigen, die dem Angreifer Root- oder Systemebenenprivilegien gewähren oder bei denen der Angreifer diese anschließend durch Privilegieneskalation erlangen kann, stellen ein ebenso großes oder höheres Risiko für die Sicherheit aller Daten dar, die von den anfälligen Systemen verarbeitet werden, als diese Sicherheitsanfälligkeit vorliegt.

In vielen Fällen werden diese Schwachstellen vom Softwareanbieter oder von Forschern entdeckt, die den Hersteller informieren. Der Anbieter stellt einen Patch her und veröffentlicht ihn ohne Veröffentlichung der Schwachstellendaten. In einigen Fällen werden die Details veröffentlicht und Exploits von der Sicherheitsgemeinschaft zur Verwendung in Testwerkzeugen veröffentlicht. Wir reagieren nicht auf diese vielen Schwachstellen, indem wir sagen "Alle unsere Geheimnisse KÖNNEN aufgedeckt worden sein!"

Wenn es Hinweise auf Ausbeutung gibt, müssen wir darauf angemessen reagieren. Ich sehe ein großes Risiko in der Überreaktion der Forscher, die diese Verwundbarkeit angekündigt haben, und in der Presse, die das lockere Gespräch der Forscher verstärkt haben. Sie weinen Wolf.

- El Viejo

Diese Antwort sollte mehr IMO gewählt werden. Jeden Monat werden zahlreiche Sicherheitslücken veröffentlicht, die es den Benutzern ermöglichen, die privaten Schlüssel von Servern zu stehlen, und es wird nicht viel Aufhebens über sie gemacht. Dieses * ist * aufgrund der Allgegenwart von OpenSSL schwerwiegender als der Durchschnitt, wird aber immer noch zu stark gehyped. alastair vor 10 Jahren 9

* "Bis und wenn es keine Beweise gibt, dass diese Sicherheitsanfälligkeit ausgenutzt wurde" "Wenn Beweise für eine Ausbeutung vorliegen, müssen wir darauf angemessen reagieren." * Sie sprechen viel über Beweise für die Ausbeutung. Eines der gruseligen Dinge am Heartbleed-Bug ist jedoch, dass * eine erfolgreiche Ausnutzung nachträglich nicht nachweisbar ist * (es sei denn, Sie speichern die eingehende Heartbeat-Nachricht jedes Mal vollständig auf Dauer, und selbst dann ist es nicht garantiert, dass eine erfolgreiche Ausnutzung zu einer Verletzung der Sicherheit). Wie schlagen Sie vor, dass wir nachweisen, dass der Fehler erfolgreich ausgebeutet wurde? a CVn vor 10 Jahren 2

Ich denke, in diesem Fall gibt es keinen Rauch ohne Feuer. Jemand, der behauptete, dass die erworbenen Ausweise oder Geheimnisse verwendet wurden, wäre gut. Ich habe gesehen, dass Leute vermuten, dass kriminelle Banden diesen Fehler verwendet hätten. Als ob Sie vorschlagen sollten, nicht tatsächlich Geld oder nachvollziehbare Ergebnisse daraus zu erhalten. Wenn ein krimineller Ring dies verwenden würde, hätte dies alles nur aus den Auswirkungen der Nachrichten heraus stattgefunden. Eine Spionageagentur ist relativ plausibler, aber nur gerecht. Sirex vor 10 Jahren 1

-1 weil dieser Autor die Natur von Angriffen nicht wirklich versteht, glaube ich nicht. Zum einen würden Angreifer, die diese Art von Zugang hatten, sehr hart daran arbeiten, sie geheim zu halten und keinen Beweis für ihr Eindringen zuzulassen. Ein Fehler dieser Art, der die Sicherheit von ungefähr der Hälfte des gesicherten Datenverkehrs im Internet einschränkt, schreit den Wolf überhaupt nicht. Ich denke, das ist eine sehr ernste Angelegenheit. Eliptical View vor 10 Jahren 6

Ich schätze Bruce Schneier in Sachen IT-Sicherheit sehr. Um [seinen Blog-Post über die Schwachstelle Heartbleed] zu zitieren (https://www.schneier.com/blog/archives/2014/04/heartbleed.html): ** "Katastrophal" ist das richtige Wort. Auf der Skala von 1 bis 10 ist dies eine 11 **. Das allein reicht für mich aus, um mit Ihrem Downplay der Angelegenheit absolut nicht übereinzustimmen. abstrask vor 10 Jahren 19

@abstrask in Fairness sagte er auch: "Wenn sich herausstellt, dass es so etwas wie der Y2K-Bug ist - dann werden wir Kritik an weinendem Wolf bekommen." Sirex vor 10 Jahren 2

@Sirex Ich verstehe, was Sie sagen, aber angesichts der Fakten sehr vorsichtig zu sein, ist ein bisschen wie eine Versicherung. Wenn nichts passiert, haben Sie Ihr Geld verschwendet, aber Sie haben den Frieden gewonnen, dass Sie es nicht sind ruiniert, wenn es nach Süden geht. abstrask vor 10 Jahren 0

Dieser Beitrag sollte herabgestuft werden. Das Problem wird NICHT als Vorbild betrachtet, es ist ein katastrophaler Ausfall von OpenSSL, und außerdem, selbst wenn es nicht verwendet wurde, bevor es öffentlich angekündigt wurde, haben schlechte Spieler danach definitiv Websites damit kompromittiert. Es ist auch sehr wahrscheinlich, dass die NSA davon wusste (dies kann jedoch nicht nachgewiesen werden). Es gibt überzeugende Theorien, die darauf hindeuten, dass dies ein absichtlicher Kompromiss ist, obwohl der Autor dies bestreitet. davidgo vor 10 Jahren 8

Von was für Beweisen sprichst du? Heartblead hinterlässt keine Spuren. Wie konnte es also Anzeichen dafür geben, dass ich jetzt seit zwei Jahren private Schlüssel sammle und diese dann für gutes Geld verwende? Ich habe es nie jemandem erzählt, aus Angst, dass der Fehler behoben werden könnte. Möchten Sie vielleicht auf meiner neuen karibischen Insel, die ich mit diesem Geld gekauft habe, weiter besprechen? PlasmaHH vor 10 Jahren 0

@PlasmaHH Es liegen keine Beweise vor, es sei denn, der Netzwerkverkehr wird überwacht / erfasst. Es scheint, dass es Hinweise darauf gibt, dass Heartbleed in der freien Wildbahn verwendet wurde, bevor es veröffentlicht wurde: Erwan Legrand vor 10 Jahren 0

__Wenn ein geheimer Schlüssel hätte verraten werden können, muss er als verraten betrachtet werden .__ Gustav vor 10 Jahren 1

Ich bin enttäuscht, dass ich nicht den Ruf habe, diesen Beitrag abzustimmen. Zum einen verwenden die meisten Sites (Amazon, Chase usw.) grundsätzlich keine Vorwärtssicherheit, was bedeutet, dass alles bis zur ersten Verwendung des CERT-Zertifikats beeinträchtigt wird. Ich bin mir auch nicht dieser großen Schwachstellen bewusst, von denen Sie behaupten, dass sie weit verbreitet sind. Ich kann mir nicht die letzte Sicherheitslücke vorstellen, bei der nicht mindestens die Möglichkeit erforderlich war, sich bei dem fraglichen Computer anzumelden, und wurde auf so ziemlich jedem Nicht-Windows-Computer mit einer "sicheren" Verbindung installiert. Wenn ich es nicht besser wüsste, würde ich diesen Beitrag wegen seiner schrecklichen Fehlinformationen kennzeichnen. CrazyCasta vor 10 Jahren 2

Heartbleed ist weitaus schlimmer als die durchschnittliche Sicherheitsanfälligkeit, da die betroffene Software so weit verbreitet ist. Die Sicherheitsanfälligkeit besteht schon so lange und kann genutzt werden, um private Informationen abzurufen, ohne eine Spur zu hinterlassen. Steve Bennett vor 10 Jahren 0

@el viejo, bitte senden Sie mir Ihre Kreditkartendaten (inkl. CVV). Es gibt NULL-Beweise, dass ich solche Informationen jemals missbraucht habe. DarkWanderer vor 10 Jahren 2

5

Teun Vink 2014-04-09 в 05:36

Nicht jede Website verwendet OpenSSL-Bibliotheken für HTTPS (es gibt beispielsweise auch GnuTLS und PolarSSL), und nicht jede Version von OpenSSL war anfällig (ältere Versionen waren nicht). Dies bedeutet, dass die von Ihnen erwähnten Websites die Zertifikate nicht geändert haben, da dies nicht erforderlich war. Ein Blick auf die Datumsangaben der Zertifikate sagt Ihnen nicht genug.

Es gibt eine Reihe von Tools und Websites, mit denen Sie überprüfen können, ob eine Website anfällig ist, beispielsweise: - http://filippo.io/Heartbleed - https://gist.github.com/mitsuhiko/10130454 - https: / /www.ssllabs.com/ssltest/

Wie Sie bereits gesagt haben, sagt Ihnen das leider nicht, ob dies der Fall war. Ich fürchte, das Hauptproblem hier ist Vertrauen: Es gibt keinen objektiven Weg, um zu überprüfen, welche SSL-Bibliotheken sie verwenden und ohne Insider-Informationen verwenden. Sie müssen hoffen, dass sie getan haben, was sie tun müssen (weil es das Richtige ist oder sogar, weil sie öffentliche Demütigung fürchten), und wenn dies der Fall ist, können Sie nur hoffen, dass sie darüber aufgeschlossen sind.

Natürlich könnten Sie diese Websites immer fragen, ob sie betroffen sind. Ich habe gesehen, dass eine Reihe von Websites diesbezüglich öffentliche Stellungnahmen abgegeben haben. Öffentliche Fragen mit sozialen Medien wie Twitter oder Facebook zu stellen, funktioniert oft.

Der beste Rat, den ich geben kann, ist ein allgemeiner Ratschlag: Seien Sie vorsichtig, was Sie im Internet zurücklassen und welchen Websites Sie Ihre persönlichen Daten anvertrauen.

* wartet, bis der unvermeidliche PolarSSL-Fehler angezeigt wird * (er ist der nächste in der Liste ...) strugee vor 10 Jahren 3

1

PeterJ 2014-04-10 в 04:34

In Bezug auf die offengelegten privaten Schlüssel ist es sinnvoll, hinzuzufügen, dass zwar jemand Daten in einer verschlüsselten Sitzung entschlüsseln kann, da er nun über den privaten Schlüssel verfügt, er sich jedoch weiterhin als der Mann in der Sitzung etablieren muss . Das kann nicht jeder im Internet.

Ich verstehe das so, dass sie immer noch den Verkehr abfangen müssen, entweder indem Sie sich in Ihrem lokalen LAN und ARP- Spoofing befinden oder den Verkehr hijacken / umleiten können, indem Sie falsche Routen an Internet-Router ankündigen. Diese Art von Angriffen war auch ohne diese Sicherheitsanfälligkeit immer möglich.

Nicht unbedingt zutreffend bei Heartbleed. Der Fehler liegt vor, weil die (was verschlüsselt werden soll) Daten durch Zugriff auf den RAM verfügbar gemacht werden können. Daher müssen sie keinen Datenverkehr abfangen, um diese Sicherheitsanfälligkeit auszunutzen. Auf dem Server oder auf dem Client muss jedoch möglicherweise schädliche Software installiert sein. Außerdem ist ein ordnungsgemäßer Zugriff für den Zugriff auf den Arbeitsspeicher erforderlich. ub3rst4r vor 10 Jahren 2

Nicht so. Es könnte auch durch einen Man-In-The-Middle-Angriff gefährdet werden. Außerdem wirkt sich der Speicherabzug nicht nur auf diese Sitzung aus. Es ist möglich (abhängig vom Inhalt des Speicherblocks), neben den privaten Schlüsseln auch unverschlüsselte Benutzernamen und Kennwörter anderer Benutzer zu sehen, um den gesamten Datenverkehr zu entschlüsseln. [Über MITM-Angriff] davidgo vor 10 Jahren 0

Ich denke, ich hätte ein wenig klarer sein sollen, dass ich mich hauptsächlich auf die Verwendung der kompromittierten Schlüssel bezog, nachdem der Server gepatcht wurde. PeterJ vor 10 Jahren 0

0

Barmar 2014-04-11 в 20:23

Sie können die URL für eine Site bei LastPass Heartbleed Checker eingeben. Sie gibt an, ob die Site anfällig oder noch anfällig ist und wann das Zertifikat aktualisiert wurde.

Es gibt auch eine Chrome-Erweiterung namens Chromebleed, die Sie warnt, wenn Sie eine Site besuchen, die von Heartbleed betroffen ist.

Mashable.com bietet eine Liste bekannter Websites, ob sie betroffen waren und ob Sie Ihr Passwort ändern sollten. Interessanterweise war keine der Websites in der Liste Banken und Brokerages betroffen.

0

frank 2014-04-13 в 12:39

Ich würde auch folgende Seite besuchen:

https://www.ivpn.net/blog/heartbleed-passwords-change

Sie haben eine Liste der beliebtesten Websites, die betroffen sind und wann und wo Sie Ihr Passwort ändern sollten

-1

Sirex 2014-04-09 в 05:05

Alles in allem würde ich sagen, lass die Paranoia nicht zu dir kommen. Nur den Datenverkehr entschlüsseln zu können und das Passwort zu erhalten, ist nicht dasselbe, als wenn Sie es tatsächlich getan haben.

Wenn Sie auf Websites wie Twitter, Facebook, Gmail und Ihrem Banking die Zwei-Faktor-Authentifizierung verwenden (und dies auch sollten), sollten Sie sich nicht allzu viele Sorgen machen.

Wenn Sie das Gefühl haben, alle Passwörter ändern zu müssen, müssen Sie das tun, wo Sie es brauchen. Das ist wirklich alles.

Die Zwei-Faktor-Authentifizierung hindert einen Angreifer nicht daran, alles Mögliche zu tun, was diesen Exploit ermöglicht. Ich bin nicht sicher, aus welchem Grund Sie es ansprechen. Der Zugriff auf Ihre sozialen Konten ist nicht wirklich ein Anliegen von jemandem, der diesen Exploit in OpenSSL ohnehin nutzen könnte. Ramhound vor 10 Jahren 1

@ramhound, den ich in den Kommentaren erwähnt habe, bevor die Kommentare entfernt wurden, hilft zwei Faktoren, da ein von einer Site herausgegebenes Zertifizierungskennwort eines Angreifers nicht mehr nützlich ist. Da es sinnlos ist, ein Kennwort zu ändern, nachdem ein neues Zertifikat ausgestellt wurde (und die Server gepatcht wurden), ist das sofortige erneute Sichern des Kontos vor einem möglichen Verlust von Berechtigungsnachweisen, die möglicherweise aufgetreten sind, während der Angreifer über den privaten Schlüssel verfügte. Twitter und Facebook sind ebenfalls wichtig, da sie für viele andere Websites (einschließlich dieser, die ich glaube?) Als Single Sign On verwendet werden kann. Sirex vor 10 Jahren 1

Das Kennwort ist immer noch hilfreich, da Benutzer dasselbe Kennwort verwenden, ja sogar Personen, die die 2-Faktor-Authentifizierung verwenden. Solange der Angreifer grundsätzlich die Sitzungsdaten ausgeben kann, kann er einen MiTM-Angriff gegen Sie durchführen. Ramhound vor 10 Jahren 0

Ja, aber die Wiederverwendung von Passwörtern ist in der Tat ein separater Fehler. Mein Punkt war, dass zwei Faktoren dazu beitragen, die Schwere und Langlebigkeit der Folgen zu mildern, aber ja, es hilft nicht, wenn der eigentliche Fehler ausgenutzt wird. Sirex vor 10 Jahren 0

@Sirex Soweit ich keiner Website sagen kann, dass ich mich mit Zwei-Faktor-Authentifizierung anmelde, sind die Cookies auf meinem Computer ungültig. Dies ist natürlich ein Versagen von ihrer Seite, aber ich meine, im Moment ist Zwei-Faktor-Authentifizierung kein Retter. Ein Angreifer kann die Cookies sehr leicht abfangen und auf eigene Anfragen verwenden. Da es keine Möglichkeit gibt zu wissen, ob jemand diesen Fehler ausnutzte (selbst für Systemadministratoren), ist die EINZIGE sichere Annahme, dass er ausgenutzt wurde. Ich weiß zum Beispiel, dass chase.com am Mittwochmorgen noch verwundbar war. Unwahrscheinlich haben die Angreifer diesen verpasst. CrazyCasta vor 10 Jahren 0

chase war nie verwundbar, was es wert war. auch ich habe gerade gesehen, dass dies aufgehört hat: http://nakedsecurity.sophos.com/2014/04/12/heartbleed-would-2fa-have-helped/ Sirex vor 10 Jahren 0

Accepted Answer · 2014-04-09 07:17:48

Aktualisierungen 2014-04-11

Cloudflare stellte eine Herausforderung an, um zu überprüfen, ob die Extraktion von privaten Schlüsseln tatsächlich möglich war. Es wurde mit rund 100.000 Anfragen erledigt und bestätigt die Ängste. Es ist nicht mehr theoretisch, sondern bewiesen . Sie können gehen hier zu erfahren.

Auch Bloomberg hat berichtet, dass die NSA haben diesen Exploit bekannt für mindestens zwei Jahre . Dies ist sinnvoll, da die NSA über die Ressourcen verfügt, um Analysten einzustellen, deren einzige Aufgabe darin besteht, in solcher Software Exploits zu finden. Nun, da wir wissen, dass die US-Regierung sie so lange ausgenutzt hat, ist die Wahrscheinlichkeit, dass andere Staaten sie kennen und ausnutzen, erheblich.

TL; DR Achten Sie auf Ankündigungen von Organisationen bezüglich des Status ihrer Systeme, ändern Sie ALLE Kennwörter und achten Sie auf Betrug / verdächtige Aktivitäten auf wichtigen Konten wie Banken oder anderen Finanzsystemen.

Um zu verstehen, warum die Situation so gefährlich ist, müssen wir zuerst verstehen, was dieser Angriff tatsächlich bewirkt. CVE-2014-0160, AKA Heartbleed, ist ein Puffer-Overread-Fehler, der es einem Angreifer ermöglicht, bis zu 64 KB Arbeitsspeicher von einem Server zu erhalten, auf dem eine verwundbare Version von OpenSSL ausgeführt wird.

Das hört sich wirklich schlecht an. Wie funktioniert das in der Praxis?

Sie haben recht, es ist ein schwerwiegender Fehler, aber wir werden später darauf zurückkommen. Lassen Sie uns jetzt darüber sprechen, warum der Exploit funktioniert. Transport Layer Security (TLS) wird zum Sichern von Informationen in vielen Anwendungen verwendet, einschließlich HTTP ( HTTPS ) oder zum Sichern von SMTPwenn zum Beispiel aktiviert. In RFC 5246, das Standards für TLS setzt, gibt es eine Funktion, die als Heartbeat bezeichnet wird. Der Client und der Server senden einige Daten hin und her, um die Verbindung aufrechtzuerhalten, damit sie später verwendet werden kann. In der Praxis sendet der Client nun einige Daten und der Server sendet sie einfach zurück, und alles ist großartig. In den betroffenen OpenSSL-Versionen wird jedoch nicht geprüft, ob der Client tatsächlich die von ihm angegebene Datenmenge gesendet hat. Wenn ich also 1 Byte sende und dem Server sage, dass ich ihn tatsächlich 64 kB gesendet habe, wird er mir gerne 64 kB zurücksenden. Woher kommen diese anderen Bytes? Das ist der Schlüssel zum Problem genau dort. OpenSSL sendet Ihnen 64 KB - 1 Byte Speicher zurück, auf die der Prozess Zugriff hat und die Sie ursprünglich nicht gesendet haben, je nachdem, wo Ihr 1 Byte gespeichert ist.privates Schlüsselmaterial¹ und Informationen, die der Server entschlüsselt. Beispiele hierfür wären: Passwörter, Kreditkarteninformationen und / oder PINs .

OK. Was bedeutet das für die Informationssicherheit? Wenn Sie verstehen, wie asymmetrische Kryptografie funktioniert, wissen Sie bereits, dass dies eine ernste Angelegenheit ist, da die Verschlüsselung durch die Offenlegung nicht mehr als Verschleierung erfolgt. Dies bedeutet, dass Sitzungen zwar immer noch mit Patches versehen sind und kein Speicher mehr ausläuft, jedoch sind Sitzungen möglicherweise immer noch unsicher. Es ist möglich, dass dies ausgenutzt wurde, bevor es öffentlich bekannt war oder während der Patches stattfanden. Derzeit gibt es jedoch keine Methode, die nachweist, dass ein Angriff erfolgt. Es ist möglich, dass Regeln für IDS verfügbar werden, dies ist ~~jedoch~~ derzeit ~~nicht der Fall.~~ IDS-Regeln wurden veröffentlicht . Das an sich ist äußerst gefährlich, da die Bediener nicht wissen, ob ihre Schlüssel noch sicher sind.

Wir müssen davon ausgehen, dass die Schlüssel durchgesickert sind. Das bedeutet, dass alles, was Sie über das Kabel senden, von Dritten entschlüsselt werden kann. Die einzige Möglichkeit, dies zu mindern, besteht darin, die Schlüssel neu zu generieren und neue Zertifikate neu zu erstellen, während die alten zurückgezogen werden. Leider dauert dies Zeit, da die Zertifizierungsstellen derzeit zweifellos mit diesen Anfragen überschwemmt werden. Trotzdem bleibt die Möglichkeit für einen Man-in-the-Middle-Angriff oder andere Phishing-Möglichkeiten bestehen.

Wann wird es sicher sein? Zu wissen, wann es sicher ist, ist eine schwierige Frage. Einige Dinge, auf die ich achten sollte, sind öffentliche Ankündigungen, in denen erklärt wird, dass der Fehler in seiner Umgebung behoben wurde oder dass er niemals anfällig war, da er die betroffenen Versionen nie verwendet hat. Wenn sie angekündigt haben, dass sie ein Upgrade auf eine neue Version von OpenSSL durchgeführt haben, würde ich sicherstellen, dass sie ein neues Zertifikat verwenden, das nach dem Datum der Veröffentlichung des Exploits (2014-04-07) unterzeichnet wurde.

** Beachten Sie, dass zuvor aufgezeichneter Datenverkehr möglicherweise entschlüsselt wird, wenn der private Schlüssel später durchgesickert wurde.

Was kann ich als Benutzer tun, um mich zu schützen?

Wenn Sie in den nächsten Tagen die Verwendung kritischer Websites wie Online-Banking oder den Zugang zu medizinischen Online-Charts vermeiden möchten, würde ich Sie dazu auffordern. Wenn Sie dies tun müssen, müssen Sie verstehen, dass Ihre Sitzung potenziell gefährdet ist, und bereit sein, die Konsequenzen zu akzeptieren. Nachdem Organisationen bekannt gegeben haben, dass sie nicht mehr anfällig sind, sollten Sie Ihr Passwort ändern . Die Verwendung eines Passwort-Managers kann helfen. Sie sollten sich auch darauf vorbereiten, andere Informationen zu ändern oder zu überwachen, die Sie verwendet haben, z. B. Bankdaten oder Kreditkartennummern.

Besondere Mitteilung an Aktivisten

Alles, was OpenSSL verwendet, kann betroffen sein, einschließlich Tor . Es ist möglich, dass Regierungen diesen Fehler seit der Aufnahme in OpenSSL-Releases vor über zwei Jahren ausnutzen konnten, da sie über die riesigen Ressourcen verfügen, um nach solchen Exploits zu suchen, und als solche sollten Sie darauf vorbereitet sein, dass die Informationen dies könnten Sei nicht länger privat.

** Beachten Sie, dass zuvor aufgezeichneter Datenverkehr möglicherweise entschlüsselt wird, wenn der private Schlüssel später durchgesickert wurde, es sei denn, Perfect Forward Security (PFS) wurde implementiert.

¹- Es gibt Behauptungen, dass private Schlüssel wahrscheinlich nicht im Speicher vorhanden wären, gleichzeitig aber auch Behauptungen auf eine erfolgreiche Schlüsselextraktion. ~~An diesem Punkt ist nicht sicher, welche Seite richtig ist.~~

Wie nutze ich das Internet, während Heartbleed repariert wird?

7 Antworten auf die Frage

Verwandte Probleme