Heartbleed haavoittovuus?

11-04-2014 Kristjan Turvallisuus

1. Yleistä tietoa HeartBleedista
2. Onko Radicenterilla on/ollut tämä haavoittovuus palvelimilla?

Jotkut käyttäjät , jotka ovat juuri löytäneetHeartbleed haavoittuvuuden internetistä syötteet ovat ihmetelleet , että meillä on tässä vai ei ? Jotkut ovat jopa käyttäneet LastPass skanneria , josko heillä on tämän ongelma sivuillaan tai ei ( yleensä ne ei ole saannut mitään kunnon vahvistusta sieltä tai ovat saanneet vastauksen, joka ei sano mitään ) .
Yritän selittää :

Enemmän tietoa haavoittuvuudesta:
Muutama päivä sitten haavoittuvuus löytyi OpenSSL -kirjastosta, joka antaa hyökkääjän saada joitakin lisätietoja palvelimilta muistista .
Alkuperäinen kuvaus tästä
Heartbleed tietoja kotisivu tästä
Lisätietoja löytyy CERT-FI kotisivulta
( XKCD on tehnyt hyvää työtä selvittä asiaa sarjakuvalla tästä )

Miten tunnistaa tämän haavoittuvuuden:
– Tarkista järjestelmien OpenSSL -kirjastot tiedossa olevia haavoittuvia versioita vastaan
– LastPass skanneri https://lastpass.com/heartbleed/ ( Huom! LastPass skanneri ei anna oikeaa kuvaa / oikea vastaus , koska se etsii vain sitä että käytetäänkö Apache ja OpenSSL’ia ja mikä on verkkosivuilla käytetyn sertifikaatin voimassaolo aika/päivämäärä)
– Filippo.io HeartBleed testi http://filippo.io/Heartbleed/ ( Tämä testi antaa sinulle eniten oikeita vastauksia kun se yrittää hyödyntää tätä heikkoutta )

Alexa top 10000 listan haavoittuvista verkkosivuista löytyy tästä

Mikä on suositeltavaa tehdä asian korjaamiseksi:
Lisätietoja löytyy linkkien alta ensimmäisessä osassa .

Onko Radicenterilla on/ollut tämä haavoittovuus palvelimilla?

Totesimme tästä heikkoudesta heti, kun se oli lähetetty kansainväliseen tietoturvallisuus listoille ensimmäisella päivälla.
Vastaus on hyvin yksinkertainen – Radicenterin palvelimilla ei oo ollut eikä saa olemaan tätä haavoittuvuuta.
Käytämme vain viimeisin vakaa ja turvallista ohjelmistoa omilla palvelimilla

Gmail ongelma alkaen 05.04.2014 Verkkosivusto ei toimi – päivitetty PHP versio – Error: reference/function is deprecated Edit this entry