최종 사용자는 Heartbleed 보안 버그에 대해 무엇을해야합니까? 뭐?

"Heartbleed"보안 버그에 대한 뉴스를 봅니다. 최종 사용자로서 이에 대해 무엇을해야합니까?

— Danorton
소스

서버 측의 OpenSSL에 대한 문제는 명확하지 않습니다.

— Ramhound

@Ramhound 당신은 그것에 대한 참조를 제공 할 수 있습니까? 클라이언트 응용 프로그램은 OpenSSL 라이브러리에 연결하여 SSL / TLS 관련 기능을 제공 할 수 있습니다 (예 : this 참조 ). 또한 heartbleed.com (굵게 강조 표시)에서 : " 악용 될 경우 서버에서 클라이언트로, 클라이언트에서 서버로 메모리 내용이 유출 됩니다. "

— Daniel Beck

@DanielBeck, Ramhound가 그 질문을 하향 조정했습니다. 누구나 "아니오"답변을 추가 할 수 있습니다. (아직 답을 선택하지 않았습니다.)

— danorton

악의적 인 해커는 클라이언트 측을 공격하지 않을 것입니다. 나는 연구의 부족에 대한 진술을지지한다. 또한 Apache는 내가 읽은 것의 목표였습니다

— Ramhound

@Ramhound 당신은 잘못 읽었습니다. OpenSSL과 연결되는 모든 것이 대상입니다. 이제 여기에는 Apache가 포함됩니다. 그러나 결코 아파치에만 국한된 것은 아니다. 게다가, 나는 이것이 당신이 올바르게 연구되지 않았다고 어떻게 생각하는지 아직도 이해하지 못합니다. 게다가, 당신은 방금 컴퓨터 보안 에 관한 6 가지 멍청한 아이디어 중 하나의 멍청한 녀석들 중 하나에 먹이로 빠졌습니다. "우리는 목표가 아닙니다"는 논쟁이 아닙니다.

— strugee

답변:

예!

전 세계 많은 웹 서버에서 HTTPS로만 암호화 된 모든 정보가 공개되었을 수 있음 을 다른 사람들에게 알리고 알립니다 .
서비스 제공 업체에 연락하여 취약성을 수정하기위한 계획을 가지고 있거나 이미 필요한 조치를 취했는지 확인해야합니다 (이에 취약한 것으로 가정). 여기에는 특히 귀중하고 민감한 정보를 보유한 은행, 금융 기관 및 기타 서비스가 포함됩니다. 이들이 수정 사항을 적용했음을 확인할 때까지 HTTPS를 통해 사용자에게 제공 한 정보는 여전히 취약합니다 .
서비스 제공 업체가 이전 비밀번호를 비활성화하거나 달리 변경하도록 요구할 수 있지만, 그렇지 않은 경우 수정 사항을 적용한 후 비밀번호를 변경하십시오 .

http://heartbleed.com/ 에서 기본 정보를 찾을 수 있습니다 .

더 많은 기술 정보는 다음에서 구할 수 있습니다.

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0160

최종 사용자가 아닌 사람들은 serverfault에서이 질문을 참조하십시오.

Heartbleed : 무엇이며이를 완화 할 수있는 옵션은 무엇입니까?

— Danorton
소스

리눅스 최종 사용자로서 OpenSSH 1.0.1e를 랩탑 (Debian Wheezy)에 설치했습니다. 여전히 걱정할 것이 없습니까?

@StaceyAnne OpenSSH는 영향을받지 않으며 OpenSSL은 영향을받습니다. 오타입니까?

— strugee

네, 오타였습니다.

You should contact your service providers and confirm that they have plans or have already taken the necessary steps to correct the vulnerability

나는 서비스 제공자가 ISP가 아닌 웹 사이트를 의미 한다고 가정 합니까?

— Synetech

@ Synetech, goog point, 그러나 표현은 어색합니다. "웹 사이트"에 연락 할 수 없습니다. 나는 더 나은 용어가 거기에 갈 수 있는지 궁금합니다.

— danorton

Linux 사용자는 데비안 7.0 ( wheezy) 설치에 OpenSSL 1.0.1e를 설치했습니다 .

그것을 고치기 위해 나는 이것을했다 :

apt-get update
apt-get upgrade openssl

OpenSSL을 다시 설치하고 데비안 Wheezy 용 고정 OpenSSL 1.0.1e-2로 대체합니다.

주요 문제는 실제로 서버 측에 있지만 클라이언트 OpenSSL이 설치되어 있으면 업그레이드하는 것이 좋습니다. 자세한 내용은 데비안 보안 권고, DSA-2896-1 openssl-보안 업데이트 를 참조하십시오.

— 피터 모텐슨
소스

또한 고정 버전이 제공되는 즉시 OpenSSL을 사용하는 TLS / SSL 클라이언트를 업그레이드해야합니다. 특히 FTPS (TPS over TLS / SSL) 클라이언트.

다행스럽게도 클라이언트의 취약점 악용은 서버보다 가능성이 적습니다.

또한보십시오:

— 마틴 프리 크릴
소스

내가 아직도 Outlook Express 6을 사용한다고 말하면서 사람들이 곤경에 빠졌습니다. :-P

— Synetech