没有人讨论Heartbleed这个巨大的安全漏洞吗

cloud226

基本说来 就是openSSL 这个用的最广的执行SSL/TLS的工具包浮现出一个潜伏2年多的巨大漏洞 让黑客可以轻易接收到未加密的信息

整个bug居然是这短短的一句话
memcpy(bp, pl, payload);

http://gizmodo.com/how-heartblee ... rnets-se-1561341209

nzoz

该漏洞不仅是涉及到https开头的网址，还包含间接使用了OpenSSL代码的产品和服务，比如，VPN、邮件系统、FTP工具等产品和服务，甚至可能会涉及到其他一些安全设施的源代码。

http://www.freebuf.com/articles/web/31553.html

netstat

Memcpy will copy payload bytes of memory regardless of what the pointers bp or pl point to. The bug occurs because memcpy copies all of the source payload (pl) and everything after it in memory, up to 64k bytes, into the landing strip at bp. It then sends that data back to the requester. The only time memcpy would not copy all "payload" bytes is if it hit a memory location that it couldn't legally read, in which case a segfault signal would occur.

In your analogy, it would be more like you place your photo down on top of a stack of photos left behind from someone else and then told the owner you had 100 photos. He would dutifully put all 100 photos into a shiny new box and give it to you. It wouldn't matter if the box was empty or not since he will replace all 100 photos.

A segfault would be a case where you dropped your photo on a stack that covered the opening to a garbage disposal and told him you had 100 photos. Unfortunately for the owner there were only 80 photos in the original pile and when he goes to move the 82nd photo, he reaches into the disposal instead.

Fernando

漏洞一出当即破解了很多电商网站

yolandalinz

俺第一个在足迹贴的，那时候万能的足迹还没打补丁呢，结果由于危害太大，被转到站务讨论了～～
http://www.oursteps.com.au/bbs/f ... &extra=page%3D1

linkspeed

微软这回高兴了

IsDonIsGood

yolandalinz 发表于 2014-4-12 00:56
俺第一个在足迹贴的，那时候万能的足迹还没打补丁呢，结果由于危害太大，被转到站务讨论了～～:indi ...

我也纳闷怎么没人提原来去站务了，top classified啊

启航

:o

yeasiz

原本想发帖的，但是等级不够=V=

弄了几个 Studiopress 的 Cookies 下主题

yeasiz

另外貌似目前也有可能影响到 SSH

http://www.ssh.com/blog/12-ssh-communications-security-comments-on-heartbleed-vulnerability

Heartbleed does not impact the safety of the Secure Shell protocol itself. However, web servers and other hosts typically run both OpenSSL and Secure Shell. This means that if an attacker is able to gain access to the system’s memory, it is possible to steal Secure Shell authentication credentials.

#heartbleed FreeBSD 10 leak private key

ylbeethoven

就因为这个，我们公司最近忙死了……

牵黄擎苍

影响很大，很多Unix Linux boxes都飘红了

GreenTreePython

因为这个我们立马换certificate ,强制全部员工换密码

jackjiang

周五刚刚得到通知，然后换了密码。

hnui

:o

findcaiyzh

IIS web server的飘过。

cloud226

所以修复工作就是server 打一个SSL的补丁+用户更新密码吗？

yeasiz

cloud226 发表于 2014-4-14 11:44
所以修复工作就是server 打一个SSL的补丁+用户更新密码吗？

重新 issue ssl certificate

dust2k

findcaiyzh 发表于 2014-4-14 09:41
IIS web server的飘过。

bug更多。。。

dcc82

没什么好讨论的，只是openssl的小漏洞罢了，而且只存在之前的版本中， 打补丁到OpenSSL 1.0.1g就没事了，1分钟解决的事情
完事后，上https://filippo.io/Heartbleed/查一下即可
用vps,dedicated server, cloud hosting等等也最好重启一下，shared hosting就不要折腾了自然会有人做的，不放心的话，memcache,redis等等cache清空一下, index重新索引一下，不过真的没什么必要。
如果你常上的网站是用ssl并且有heartbleed漏洞，要放心的话建议密码全部换掉，但是我懒的去换，网站如果本身有bug不知道比这个历害多少倍了，另外谁知道你的密码是不是明码存在数据库中的，这年头就算大网站做的业余的多的去了。我在等待账号被黑了后，再通过邮件重置密码，但是我等了很久还没有发生。
另外，和SSL Certificate没有任何关系，如果非要重新issue，也只能说，你们真的很空。

GreenTreePython

dcc82 发表于 2014-4-15 22:03
没什么好讨论的，只是openssl的小漏洞罢了，而且只存在之前的版本中， 打补丁到OpenSSL 1.0.1g就没事了，1 ...

嘿嘿，和certificate 没什么关系？把private key 都暴露了，还有什么加密可言？

yolandalinz

shellshock又出来了，不过好像没有太大影响