Новая тема   Ответить

 inferno[DGT]
Обнаружена критическая уязвимость в OpenSSL, рекомендую всем клиентам и коллегам-хостерам ознакомиться и принять меры по обновлению OpenSSL и сделать перевыпуск сертификатов, так как они могут быть скомпрометированы.

Подробнее тут: http://habrahabr.ru/post/218609/

 Joseph
Спасибо, чекаем.

 inferno[DGT]
Проверить ваш сайт/сервер можете тут: http://filippo.io/Heartbleed/

 Stek
на centos 6.4 показывает отсутствие уязвимости. OpenSSL из дистрибутива.

 inferno[DGT]
Stek: начиная с 6.5 вроде в CentOS, более старые версии, особенно 5.x не подвержены, но лучше все равно проверять тут http://filippo.io/Heartbleed/

 Stek
Не совсем понимаю смысл уязвимости. Ну сдампят ключ с вэб сайта. Могут начать снифить трафик , если есть такая возможность, а по сути уже давно фактически не реально. Ну или сделав фейковый сайт, каким либо образом заставив клиента подключиться, могут что то намухлевать с поддельным сертификатом.

По сути, для 99% сайтов это ничем особо не грозит. Важно только банкам, биллингам и т.п. Остальные могут не особо нервничая обновиться в штатном режиме.

 San_Tehnik
ubuntu 12.04 уже выпустили обновление и закрыли уязвимость.

 Salis
удалено

 kit
Пофиксили.

 Дартаньян
kit:

 FreeNet
Stek писал:
Т.е. для домашнего пк даже на linux(ubuntu,centos,debian) это по сути ничем не грозит, т.е. можно получить только ту часть информации которая относится к конкретному сайту?
Что можно сделать пользователь зашёл на уязвимый сайт с уязвимым домашним openssl? Т.е. мы только сами сертификаты теряли два года или можно было получить любую информацию из оперативки если у тебя был openssl(допустим через браузер и какие браузеры этому были подверженны)?

 inferno[DGT]
Читается в 2 стороны вроде как

 FreeNet
Но куски то случайные? Или в любом случае все пароли слиты?

 arma
Апну.

Особенно будет полезно тем, кто еще не обновился и думает что "не страшно".
Эти ребята тоже так думали сначала:

https://blog.cloudflare.com/answering-the-critical-question-can-you-…heartbleed
http://blog.cloudflare.com/the-results-of-the-cloudflare-challenge

Куски случайные,
но можно за несколько К запросов к серверу выйтянуть куски и с уверенностью склеить в приватный ключ.

 ArtistAWM
kit писал:
lastpass.com/heartbleed/?h=master-x.com

тут показывает, когда был создан сертификат. он старый и Possibly Unsafe. не пофиксено т.е.