Τρομερή ευπάθεια στο OpenSSL. Απαραίτητη η αναβάθμιση για διαχειριστές

[Gi0]

Η πλατφόρμα Tumblr της Yahoo συμβουλεύει το κοινό να αλλάξει άμεσα όλους τους κωδικούς του, με προτεραιότητα σε αυτούς που αφορούν email, αποθηκευτικούς χώρους και τραπεζικές συναλλαγές.

H πλατφορμα Tumblr της Yahoo καλα θα κανει να δινει ολοκληρωμενες συμβουλες, εαν θελει να θεωρουνται σωστες συμβουλες.

Εαν το κοινο αλλαξει αμεσα ολους τους κωδικους του και καποιο απο το site/τα site δεν εχει προχωρησει στη διορθωση του προβληματος (τα οποια ειναι μπολικα ακομα), το μονο που θα καταφερει ειναι μια προφανης τρυπα στο νερο.

Tl;dr Αλλαζουμε κωδικους μονο εαν το εκαστοτε site εχει περασει σε οpenSSL εκδοση που δεν περιεχει το συγκεκριμενο προβλημα.

[panther_512]

Σωστά. Παραθέτω το original μύνημα όπου απουσιάζει η συμβουλή για έλεγχο πρώτα του site πρίν γίνει η αλλαγή του κωδικού. Βέβαια τώρα που δημοσιεύθηκε το πρόβλημα, οι λογαριασμοί μας σε site που δεν έχουν κάνει update είναι ακόμα πιό ευάλωτοι.

 

 

Bad news. A major vulnerability, known as “Heartbleed,” has been disclosed for the technology that powers encryption across the majority of the internet. That includes Tumblr.

We have no evidence of any breach and, like most networks, our team took immediate action to fix the issue.

But this still means that the little lock icon (HTTPS) we all trusted to keep our passwords, personal emails, and credit cards safe, was actually making all that private information accessible to anyone who knew about the exploit.

This might be a good day to call in sick and take some time to change your passwords everywhere—especially your high-security services like email, file storage, and banking, which may have been compromised by this bug.

You’ll be hearing more in the news over the coming days. Take care.

[coffeex]

Στο yahoo  έδειχνε χύμα τους κωδικούς αυτών που έκαναν login.

[jmirko15]

Gi0, μαζί δεν μιλούσαμε πριν λίγο καιρό για την SSL

[Gi0]

Gi0, μαζί δεν μιλούσαμε πριν λίγο καιρό για την SSL

Ναι, για τo SSL και οχι μονο για τo OpenSSL.

Τι σχεση εχει με το θεμα?

[jmirko15]

Ναι, για τo SSL και οχι μονο για τo OpenSSL.

Τι σχεση εχει με το θεμα?

Τίποτα, απλώς λέω τι γκαντέμης είμαι χαχα

[Gi0]

Τίποτα, απλώς λέω τι γκαντέμης είμαι χαχα

Βtw ο IIS δεν χρησιμοποιει τη συγκεκριμενη βιβλιοθηκη.

[tr3quart1sta]

Fun fact: το site του OpenSSL ειναι ακομα ευπαθες

 

 

 

 

 

σε ποιο site ειναι αυτο το heartbleed test?

[Gi0]

σε ποιο site ειναι αυτο το heartbleed test?

http://filippo.io/Heartbleed/

[nikolaos_]

H πλατφορμα Tumblr της Yahoo καλα θα κανει να δινει ολοκληρωμενες συμβουλες, εαν θελει να θεωρουνται σωστες συμβουλες.

Εαν το κοινο αλλαξει αμεσα ολους τους κωδικους του και καποιο απο το site/τα site δεν εχει προχωρησει στη διορθωση του προβληματος (τα οποια ειναι μπολικα ακομα), το μονο που θα καταφερει ειναι μια προφανης τρυπα στο νερο.

Tl;dr Αλλαζουμε κωδικους μονο εαν το εκαστοτε site εχει περασει σε οpenSSL εκδοση που δεν περιεχει το συγκεκριμενο προβλημα.

Αυτό μπορεί όμως να το διαπιστώσει ένας χρήστης, με ποια έκδοση OpenSSL τον έχει συνδέσει το site;

[Gi0]

Αυτό μπορεί όμως να το διαπιστώσει ένας χρήστης, με ποια έκδοση OpenSSL τον έχει συνδέσει το site;

Ενας καλος τροπος ειναι το site που εδωσα στο προηγουμενο post (οποιος το χρησιμοποιει για σοβαρο σκοπο, ας διαβασει και το FAQ του). Ενας αλλος ειναι πολυ απλα να επικοινωνησει με το ιδιο το site και να παρει επισημη απαντηση απο τον/τους υπευθυνους.

Επιπλεον, υποθετω πως αυτη τη στιγμη θα υπαρχουν στην cache του Google αρκετα scripts γραμμενα απο χρηστες γι αυτο το σκοπο.

[nikolaos_]

Κάνοντας πάντως openssl s_client -connect Κάποιο_Site:443 -tlsextdebug σε 2-3 sites που είχα υπόψη, δεν εμφανίζει το heartbeat. Αυτό σημαίνει ότι αυτά δεν έχουν πρόβλημα;

[21century]

Μάλλον από την κρυφή μνήμη κινδυνεύουμε περισσότερο..

[gregdel]

Εδώ φαίνεται ασφαλές...

http://filippo.io/Heartbleed/#eurobank.gr

 

και εδώ προβληματικό!

https://www.ssllabs.com/ssltest/analyze.html?d=eurobank.gr

 

Τι γίνεται???????

[Gi0]

Μάλλον από την κρυφή μνήμη κινδυνεύουμε περισσότερο..

"Μιλας με γριφους γεροντα.."

Εδώ φαίνεται ασφαλές...

http://filippo.io/Heartbleed/#eurobank.gr

 

και εδώ προβληματικό!

https://www.ssllabs.com/ssltest/analyze.html?d=eurobank.gr

 

Τι γίνεται???????

Και τα δυο μου βγαζουν πως δεν ειναι ευπαθες στο Heartbleed

 

Heartbleed trolling

 

 

 

 

Tο perl script