Onderwerp: Groot deel internet kwetsbaar door kritiek "Heartbleed"-lek in OpenSSL-bibliotheek

Een ernstig beveiligingslek in de populaire OpenSSL-softwarebibliotheek, op veel computersystemen verantwoordelijk voor de cryptografie binnen het SSL/TLS-protocol, maakt het mogelijk om versleutelde informatie te stelen. De fout zit al sinds 2011 in de code, en kan reeds op grote schaal misbruikt zijn.

Source: hostinginnederland.nl

Een techniek die de impact van het lek enigszins kan verkleinen is (Perfect) Forward Secrecy (PFS). Dit is "een eigenschap [in de cryptografie] die er voor zorgt dat in het geval een bepaalde sleutel uit een communicatiekanaal gecompromitteerd wordt, de voorgaande sleutels niet afgeleid kunnen worden. Hierdoor zijn de voorgaande berichten ook niet af te leiden." (Wikipedia)

Deze methode wordt echter nog maar weinig toegepast, zo bleek ook uit een recent onderzoek naar de gegevensversleuteling bij Nederlandse banken, waarvan geen enkele PFS bleek te ondersteunen.

Nee want onze privé betaalgegevens verkopen aan adverteerders is belangrijker

Voor degenen die nog niet massaal gepatcht hebben, even een to-the-point overzichtje:

Je bent kwetsbaar als je een OpenSSL versie 1.0.1 t/m 1.0.1f draait. Oudere en nieuwere versies zijn niet kwetsbaar.

Om te bepalen welke OpenSSL versie je draait, gebruik je dit commando (in *nix shell of Windows command line):

Code:

openssl version

Als je een kwetsbare versie draait, is het cruciaal dat je per direct upgrade naar een niet-kwetsbare versie. Als alternatief kun je OpenSSL recompilen met optie -DOPENSSL_NO_HEARTBEATS

Voor de meest recente CentOS 6 omgevingen (in de hosting industrie de meest gebruikte Linux variant) is de kans groot dat je OpenSSL 1.0.1e draait, een kwetsbare versie dus. CentOS 6 ondersteunt nog geen OpenSSL 1.0.1g, maar ze hebben zojuist een patch voor OpenSSL 1.0.1e uitgebracht; te weten openssl-1.0.1e-16.el6_5.7. Om te bepalen of je deze versie reeds draait:

Code:

rpm -q openssl

Als de output niet met openssl-1.0.1e-16.el6_5.7 begint, kun je via yum upgraden:

Code:

yum upgrade openssl

Overigens: als je CentOS-6 draait i.c.m. een control panel, bijvoorbeeld cPanel, is de kans groot dat je een oudere OpenSSL versie draait, aangezien de meeste control panels zelf een oudere versie installeren. Die versies zijn niet kwetsbaar.

En vergeet niet daarna de web- en/of e-mailservers nog even te herstarten.

Inderdaad. Daarnaast is het ook aan te raden om private keys opnieuw te genereren, aangezien er een kans is dat deze uitgelekt zijn toen de bug nog niet gepatcht was.

Er zijn wat checks beschikbaar op internet, maar die lijken onbetrouwbaar.

CentOS 5.x machine met OpenSSL 0.9.8.x: de ene site geeft wel een vulnerable melding, de ander niet. Dit terwijl die versie dus veilig is.
CentOS 6.x machines met OpenSSL 1.0.1e: de ene server wel, de ander niet, terwijl die OpenSSL wel vatbaar is.

Oorspronkelijk geplaatst door Spyder01

CentOS 6.x machines met OpenSSL 1.0.1e: de ene server wel, de ander niet, terwijl die OpenSSL wel vatbaar is.

Dat klopt niet - zie mijn bovenstaande post. De nieuwste 1.0.1e versies zijn gepatcht en zijn dus niet vatbaar. Het klopt dus dat sommige 1.0.1e versies wel vatbaar zijn en sommige niet.

Bedankt voor de uitleg en stappenplannetje.
Ik zat met m'n VPS inderdaad op 1.0.1e en heb de 5.7 patch met yum kunnen installeren.

Vannacht een update ontvangen. Versie is nu onder CentOS 6:
OpenSSL 1.0.1e-fips 11 Feb 2013

Oorspronkelijk geplaatst door dreamhost_nl

Vannacht een update ontvangen. Versie is nu onder CentOS 6:
OpenSSL 1.0.1e-fips 11 Feb 2013

Dat is geen specifieke versie, er zijn meerdere patches - je moet even met "rpm -q openssl" controleren of je openssl-1.0.1e-16.el6_5.7 draait.

Oorspronkelijk geplaatst door Apoc

Dat klopt niet - zie mijn bovenstaande post. De nieuwste 1.0.1e versies zijn gepatcht en zijn dus niet vatbaar. Het klopt dus dat sommige 1.0.1e versies wel vatbaar zijn en sommige niet.

Afgelopen week zijn op geen van de CentOS 6 machines updates geweest. Dus mijn opmerking klopt in ons geval wel
Ben nu e.e.a. aan het pushen qua updates.

mmm, hier net een update gedaan op een systeem, openssl wordt bijgewerkt maar maar tot 6_5.4

openssl-1.0.1e-16.el6_5.4.0.1.centos.x86_64

Mogelijk dat hij nog niet helemala verspreid is ?

Oorspronkelijk geplaatst door bibawa

mmm, hier net een update gedaan op een systeem, openssl wordt bijgewerkt maar maar tot 6_5.4

openssl-1.0.1e-16.el6_5.4.0.1.centos.x86_64

Mogelijk dat hij nog niet helemala verspreid is ?

Mogelijk heb je probleem met je cache, doe eens "yum clean all" en dan opnieuw een update

openssl-1.0.1e-16.el6_5.4.0.1.centos.x86_64

Mogelijk dat hij nog niet helemala verspreid is ?

Volgens mij is dat de tijdelijke, door RedHat uitgegeven patch, en zit je daar voorlopig wel goed mee.

Kloppen die testen http://filippo.io/Heartbleed/#mijn.xenius.be geeft bijvoorbeeld aan dat het vurnable is maar toch is openssl op versie 5.7 .