OpenSSL 严重 bug 允许攻击者读取 64k 内存，Debian 半小时修复

[anjunecha]

http://www.solidot.org/story?sid=39042

[DearMark]

get it

[Livid]

apt-get update
apt-get install libssl1.0.0 libssl-dev

[aliuwr]

根据 Bug 描述, 可以重复读取 64K 内存, 直到攻击者获取到想要的数据.

[LazyZhu]

https://www.openssl.org/news/secadv_20140407.txt

https://www.openssl.org/source/openssl-1.0.1g.tar.gz

[nichan]

是不是说我需要更换vps的密钥文件了？

[mumchristmas]

@Livid 这次不只升级库这么简单了，目前所有在1.0.1下运作的SSL证书全都要更换，heartbleed攻击不会在服务器端留下任何log痕迹。

有人评价这是计算机安全领域出现过的影响力最大的bug。

[sdysj]

哈哈，这下SSL该毁了，大站私钥都得换了。

[cax0ch]

还没看这个问题，得研究下

[mumchristmas]

样例：
http://s3.jspenguin.org/ssltest.py

[MrMario]

昨儿刚编译安装好1.0.1f ，唉 ╮(╯▽╰)╭

[66CCFF]

还好证书还没来得及用= =

[sanddudu]

@mumchristmas
这个漏洞目前只在 1.0.1g 修复了，beta 版本要 1.0.2-beta2 才会修复这个漏洞，目前还没出
临时的解决方案是重新编译时带上 -DOPENSSL_NO_HEARTBEATS 参数
http://www.openssl.org/news/secadv_20140407.txt
另外更换秘钥是为了保险，如果没有遭受攻击，不一定要更换秘钥

[zdf]

@sanddudu 是不是如果没有遭受攻击的则只需要按照Livid那样更新即可？

[a2z]

@sanddudu
g也没修复，用旧版openssl库编译的东西都要重新编译……坑爹

[humiaozuzu]

公钥认证的会受到影响吗

[lightening]

我们用的 Ubuntu 12.04 LTS 太老了，没有受这个 bug 影响……

[Semidio]

http://heartbleed.com/

[mumchristmas]

@sanddudu 在没有证据证明未遭受攻击的情况下，基于信息安全原则，需视同已遭受攻击的情况进行处理。

[046569]

@lightening
表示Debian squeeze也被漏洞无视了...

[sinxccc]

@sanddudu 但问题是你不知道有没有被攻击…