まず、おびえさせる前に、この脆弱性が実際にあなたに当てはまるかどうかを理解してください。サーバーはあるが、TLSを使用するアプリケーションを実際に使用したことがない場合、これを修正することは優先度の高いことではありません。一方、あなたがいる場合、これまで持っていた TLSに対応したアプリケーションを、よくして、あなたは治療のためにいます。読む：
CVE-2014-0160別名「Heartbleed」とは何ですか？
それは大きな途方もない混乱です、それはそれです。つまり、OpenSSLバージョン1.0.1から1.0.1fにリモートで悪用可能な脆弱性が発見され、攻撃者がシステムメモリの特定の部分を読み取ることができます。これらの部分は、秘密鍵、事前共有鍵、パスワード、価値の高い企業データなどの機密データを保持する部分です。
このバグは、Google SecurityのNeel Mehta（2014年3月21日）およびフィンランドのITセキュリティテスト会社Codenomicon（2014年4月2日）によって独自に発見されました。
原因は何ですか？
まあ、OpenSSLの誤ったコード。ここでは、脆弱性を導入しているコミットされ、そしてここで、脆弱性を修正しているコミットです。このバグは2011年12月に発生し、2014年4月7日にパッチが適用されました。
バグは、より大きな問題の症状として見ることもできます。2つの関連する問題は、（1）誤ったコードがコードベースに導入されないことを保証するためのプロセスと、（2）プロトコルと拡張機能が非常に複雑でテストが難しい理由です。項目（1）は、OpenSSLおよびその他の多くのプロジェクトのガバナンスとプロセスの問題です。多くの開発者は、コードレビュー、分析、スキャンなどの慣行に単に抵抗します。項目（2）はIETFのTLS WGで議論されています。Heartbleed /プロトコルの複雑さを参照してください。
誤ったコードは悪意を持って挿入されましたか？
これが本当に間違いだったのか、あるいは悪役に代わって少しのコードが入ったのかについては推測しません。ただし、OpenSSLのコードを開発した人は、それが不注意だと述べています。参照してください深刻な導入・マン」をハートブリードのセキュリティ上の欠陥は、彼が意図的にそれを挿入拒否する。
OpenSSLのどのOSおよびバージョンが脆弱ですか？
上記のように、使用しているオペレーティングシステム、またはOpenSSL 1.0.1から1.0.1fに対してリンクされているアプリケーション。
症状は何ですか、悪用の成功を検出する方法はありますか？
これは怖い部分です。私たちが知る限り、この脆弱性が悪用されたかどうかを検出する方法は知られていません。理論的には、このエクスプロイトを検出できるIDSシグニチャがまもなくリリースされる可能性がありますが、これを書いている時点では、これらは利用できません。
Heartbleedが2013年11月には野生で積極的に悪用されていたという証拠があります。EFFのWild at Heart：2013年11月にHeartbleedを使用したインテリジェンス機関を参照してください。そして、ブルームバーグは、脆弱性が導入された直後にNSAがエクスプロイトを武器化したと報告しています。NSAが何年もの間、知性のためのハートブリードバグを悪用すると言われているを参照してください。しかし、米国Intelligence報機関はブルームバーグの主張を否定しています。IC ON THE RECORDを参照してください。
システムに影響があるかどうかを確認するにはどうすればよいですか？
システムでOpenSSLを保守している場合は、次を発行するだけですopenssl version：
$ openssl version
OpenSSL 1.0.1g 7 Apr 2014
場合分布はOpenSSLを維持している、あなたはおそらく使用してパッチ適用による背面にはOpenSSLのバージョンを確認することはできませんopenssl（例えば、コマンドやパッケージ情報をapt-get、dpkg、yumまたはrpm）。ほとんどの（すべて？）ディストリビューションで使用されるバックパッチプロセスは、ベースバージョン番号（たとえば、「1.0.1e」）のみを使用します。有効なセキュリティバージョン（たとえば、「1.0.1g」）は含まれません。
パッケージがバックパッチされたときに、OpenSSLおよびその他のパッケージの有効なセキュリティバージョンを決定するためのスーパーユーザーに関する未解決の質問があります。残念ながら、有用な回答はありません（ディストリビューションのWebサイトを確認する以外に）。バックパッチに直面したときの効果的なセキュリティバージョンの決定を参照してください。
経験則として、影響を受けるバージョンのいずれかをインストールし、TLSサポートのためにOpenSSLにリンクするプログラムまたはサービスを実行したことがある場合、脆弱です。
脆弱性をテストするプログラムはどこにありますか？
Heartbleedの発表から数時間以内に、インターネット上の複数の人々が、この脆弱性の存在をサーバーで確認するために使用できると思われる、一般にアクセス可能なWebアプリケーションを公開しました。この記事の執筆時点では、レビューを行っていないため、アプリケーションの公開はこれ以上行いません。お好みの検索エンジンの助けを借りて比較的簡単に見つけることができます。
この脆弱性はどのように緩和されますか？
脆弱性のないバージョンにアップグレードし、脆弱なデータをリセットまたは再保護します。Heartbleedサイトで述べたように、適切な対応手順は大まかに次のとおりです。
- 脆弱なシステムにパッチを適用します。
- 新しい秘密鍵を再生成します。
- 新しいCSRをCAに送信します。
- 新しい署名済み証明書を取得してインストールします。
- セッションキーとCookieを無効にする
- パスワードと共有秘密をリセットする
- 古い証明書を取り消します。
より詳細な分析と回答については、Heartbleed OpenSSLエクスプロイトについてウェブサイト運営者がすべきことを参照してください。セキュリティスタックエクスチェンジ。
私の鍵または他の個人データが危険にさらされていることを心配する必要がありますか？他にどのような副作用を心配する必要がありますか？
絶対に。システム管理者は、脆弱なOpenSSLバージョンを使用したサーバーが実際に侵害されていると想定し、それに応じて対応する必要があります。
脆弱性が公開されて間もなく、Cloudfareは、サーバーの秘密キーを実際に回復できるかどうかを確認するという課題を提示しました。チャレンジは、ヒョードル・インドゥトニーとイルッカ・マティラによって独立して勝ち取られました。The Heartbleed Challengeを参照してください。
詳細情報はどこで入手できますか？
詳細を探している人のためのリンクダンプ：
開示イベントのかなり詳細なタイムラインは、Heartbleedの開示タイムラインにあります。誰が何をいつ知っていましたか。
プログラマーであり、OpenSSLのmsg_cbコールバックを通じてHeartbleed攻撃を検出するなど、さまざまなプログラミングのトリックに興味がある場合は、OpenSSLのセキュリティアドバイザリ2014047を参照してください。
