uzullaがブログスマートフォン用の表示で見るuzullaがブログuzullaがブログです。細かい事をはぶきますが、SSL通信を行っているプロセスのメモリが読み取られる件。6系だと、1.0.x系で、「el6_x.x」のx.xが、5.7でなければ脆弱性あります。注意点として、Opensslを野良でいれて、野良で他のプログラムをビルドしてないか気を付けましょう。(...ということをさける為にも、よほどの事がなければ野良ビルドはやめましょう)2,ツールをつかう実際にパケットを飛ばして脆弱性を確認するツールがあります。これ、Go言語で書かれててカッコイイhttps://github.com/titanous/heartbleeder他にも本当に色々あって、ウェブサービスになってるやつとか*1、Python製*2とかありますが、自分がコードよめないとつらいので、Go言語のこいつで試す事にしました。heartbeat簡単ですね。ApacheとMod_sslをいれました。mod_ssl確認したら、すでにパッケージが最新版になってしまっていたので(1.0.1e-16.el6_5.7)、ダウングレードする。0:1.0.1e-16.el6_5.4Complete!ダウングレードしたらhttpdの再起動も必要です。(今回はともかく)新規でサーバーを立てたとき、パッケージが最新版になっている業者は「少ない」と思います。upgradeをしましょう。パッケージが最新版になるVultrはエライとおもう。updateとかすると300MbyteくらいDLする必要がある各社は見習ってほしい。opensslを実行し、最新版にもどし、httpdを再起動してからもう一度やってみる。vulnerable)よさそう。一回ダウングレードして...ちゃんと認識してるな、よさそう。なんでこんな記事を書いたか割と急ぎで諸々のサーバのパッケージをアップデートしたので、シッカリした検証を行えていなかった。(全部の穴をふさいだ後で、そういえば...となった)「対応前後がちゃんとみれてなかったら、ツールがあっても意味ないやんけ!!!」感すごい。このツールの出力が(読めばわかるが)フワッとしてて...wとりあえず、アップデータをあてて、外してで挙動が実際に変わったことで、安心出来た。*4まあ、ツールがそもそも本当にイケてるのかは、これからツールのソースコードとHeartbleedの仕様を調べてからになりますがね!!SSL証明書再発行について世の中は厳しいので「なんでこんな脆弱性があるんだ!!お前の責任だろ!ぶっ殺すぞ!!訴訟だ!!!土下座しろ!!!今後なにかあってもお前の責任だ!!」みたいな無理筋っぽいクレームがついてきて、本当につらいですが、そういう所は本当になんかあったらクレーム飛ばして内容証明みたいなのがとどくので、やっておく方が良いでしょう。あと、この脆弱性が公開されたのは数日前ですが、実際に脆弱性が存在していた期間というのはそのライブラリをいれてから対策するまでです。個人的なメモ画像がかわいい。»プロフィールid:uzullauzullaがブログです。参加してきました!月別アーカイブ参加グループWindows開発者はてなブログをはじめよう!uzullaさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。