Heartbleed — вразливість у OpenSSL

Heartbleed — помилка у криптографічному програмному забезпеченні OpenSSL, що дозволяє несанкціоновано читати пам’ять на сервері або у клієнті, у тому числі для вилучення закритого ключа сервера. Іншими словами, дана вразливість дозволяє третій стороні перехоплювати зашифровану за допомогою протоколу SSL/TLS інформацію.

Більш детальну інформацію щодо даної вразливості ви можете знайти на таких ресурсах:

http://www.computerra.ru/98046/heartbleed-simple/

http://heartbleed.com/

Важливо розуміти, що вразливі лише деякі версії бібліотеки OpenSSL, а саме: OpenSSL 1.0.1 — 1.0.1f, 1.0.2-beta1.

Як ми вирішили проблему на SSL.com.ua

Компанія SSL.com.ua зробила всі необхідні оновлення на сервері, де використовувалася вразлива версія OpenSSL. Ми також оновили і перевстановили всі SSL-сертифікати, які використовуються на сайті.

Важливо розуміти:

  1. Вразливість торкнулася лише певних версій OpenSSL.
  2. Вразливість не пов’язана з SSL-сертифікатами, які надаємо ми. Сертифікати, як і раніше, надійно захищають дані.

Наші рекомендації клієнтам SSL.com.ua

  1. Перевірте, чи використовується вразлива версія OpenSSL на сервері (серверах). Ви також можете скористатися інструментом https://filippo.io/Heartbleed/
    Якщо так, переходьте до пункту 2.
  2. Оновіть версію OpenSSL (до 1.0.1g). Якщо неможливо оновити систему самостійно, рекомендуємо звернутися до хостинг-провайдера для вирішення цього питання.
  3. Здійсніть перевипуск SSL сертифіката (Reissue). Про те, як це зробити читайте тут: https://ssl.com.ua/clients/knowledgebase.php?action=displayarticle&id=46
    Перевипуск сертифікатів здійснюється безкоштовно.
  4. Встановіть новий сертифікат на сервері та перевірте працездатність.
  5. Відкликайте старий сертифікат SSL. Інструкція з того, як це зробити знаходиться тут: https://ssl.com.ua/faq/ssl-certificate-reissue.html
    Важливо: Старий сертифікат можна відкликати тільки після того, як ви перевстановили та перевірили працездатність нового сертифіката.
  6. У разі потреби попросіть своїх клієнтів оновити деталі доступу на ваш ресурс.

Потрібен SSL-сертифікат з піддоменами? Дивіться наші пропозиції від центрів сертифікації Comodo та GeoTrust.