¿Cómo probar y corregir las vulnerabilidades de SSL Heart Bleed?

¿Está su sitio web a salvo de Heartbleed Bug?

El error Heartbleed es una vulnerabilidad grave de OpenSSL en la biblioteca de software criptográfico.  Esto permite exponer información confidencial sobre cifrado SSL / TLS para aplicaciones como web, correo electrónico, mensajería instantánea y VPN.

Información detallada sobre el bug heartbleed se puede encontrar aquí. 

En este artículo, hablaré sobre cómo probar si sus aplicaciones web son vulnerables a la seguridad.

Estado de las diferentes versiones de OpenSSL: -

• OpenSSL 1.0.1 a 1.0.1f (inclusive) son vulnerables
• OpenSSL 1.0.1g NO es vulnerable
• La rama OpenSSL 1.0.0 NO es vulnerable
• La rama OpenSSL 0.9.8 NO es vulnerable

Si está utilizando F5 para descargar SSL, puede referirse aquí para comprobar si es vulnerable.

Heartbleed Testing Tools

laboratorios SSL

Uno de los populares Prueba del servidor SSL by Qualys escanea el objetivo en busca de más de 50 vulnerabilidades conocidas relacionadas con TLS / SSL, incluido Heartbleed. En la página de resultados de la prueba, debería ver algo como a continuación.

Escáner TLS

Escáner TLS by Geekflare le permite probar rápidamente su sitio web para detectar errores de configuración y fallas de seguridad comunes.

OpenSSL

Si está probando sitios internos o no desea utilizar un escáner basado en la nube, puede utilizar OpenSSL. El siguiente comando debería ayudarte con eso.

echo "QUIT"|openssl s_client -connect facebook.com:443 2>&1|grep 'server extension "heartbeat" (id=15)' || echo safe

Ejemplo:

[root@lab ~]# echo "QUIT"|openssl s_client -connect geekflare.com:443 2>&1|grep 'server extension "heartbeat" (id=15)' || echo safe
safe
[root@lab ~]#

Vas a reemplazar geekflare.com:443 con su sitio.

Fixing Heartbleed

La reparación es bastante sencilla. Hay dos cosas que debes hacer para solucionarlo.

• Actualice OpenSSL a 1.o.1g o una versión superior.
• Regenere la CSR con una versión mejorada de OpenSSL y obtenga la firma de una autoridad de certificación. Una vez que reciba el certificado firmado, impleméntelo en sus respectivos servidores web o dispositivos periféricos.

Espero que esto te ayude.