Heartbleed

Heartbleed.md

Heartbleed 対策

参考資料

全部読んでおく

• http://heartbleed.com/
• http://d.hatena.ne.jp/nekoruri/20140408/heartbleed
• http://dev.classmethod.jp/cloud/aws/awsheartbleedbug/
• http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/US_UpdatingLoadBalancerSSL.html
• http://hyper-text.org/archives/2014/04/openssl_heartbleed_bug_qa.shtml
• http://jvn.jp/vu/JVNVU94401838/
• http://labunix.hateblo.jp/entry/20140408/1396963029
• http://qiita.com/tachiba/items/83e5fd31d06e6577abb3
• http://takeshiyako.blogspot.jp/2014/04/centos-65opensslheartbleed.html
• http://www.atmarkit.co.jp/ait/articles/1404/10/news128.html
• http://togetter.com/li/653864

影響範囲

• サーバー
  • OpenSSL モジュール
  • SSL 証明書
• Saas, Web サービス
  • Google (一部)
  • Backlog
  • Flicker
  • yahoo
  • addthis
  • その他 影響リスト
• クライアントソフト
  • Android 4.1.1
  • WinSCP
  • FFFTP
  • その他 影響リスト

他のプロトコル

• SSH, FTPSなどへの影響は？

http://superuser.com/questions/739349/does-heartbleed-affect-ssh-keys http://superuser.com/questions/739690/which-versions-of-the-windows-tls-ssl-file-transfer-software-like-winscp-and-fil http://blog.ohgaki.net/what-can-be-stolen-by-heartbleed http://qiita.com/maueki/items/69d358d207eb62a2d321

もう少し調べる

OpenSSL バージョン確認

cat /etc/redhat-release

↓これは間違い

openssl version

パッケージのバージョンを見よ

yum list installed | fgrep ssl

openssl version -a | grep compiler | sed s/" \-"/"\n&"/g | column

DOPENSSL_NO_HEARTBEATS を探してあったら、影響バージョン

対応済みのバージョン

環境によって変わるので注意

Cent6.5系 : openssl-1.0.1e-16.el6_5.7 以上

AWS EC2 (amazon linux) : openssl-1.0.1e-37.66.amzn1 以上

個別の対応

一般的なサーバー, EC2での対応

• OpenSSL でのアップデート
• 証明書の再発行

ELB に証明書インストール

• AWS ELB は対応済み
• 証明書のみ再発行

Webサービス (Backlog, Flicker, Yahoo etc)

• サービス側での対応を待つ
• パスワードの変更
• 二要素認証

自分たちでパスワードを保存しているサービス

• ユーザーにパスワードを変更させるように通知

Unibaas

6.0.3, 5.2.10 へのアップデート