Команду apt-get update; apt-get upgrade надо набирать регулярно. В /etc/apt/sources.list должно быть прописано конкретное имя дистра, например "wheezy", а не "stable", чтобы при выходе следующей версии дистра не получить агрейд всей системы, который в таком случае, скорее всего пройдёт некорректно и закончится крахом.

deb http://security.debian.org/ тоже, разумеется, там должен быть прописан.

[offtop]
Полный апгрейд системы «поверх» на новыую версию дистра совершенно безопасен, если заранее прочитать инструкцию перед выходом новой версии, где указаны все подводные камни и пошаговые инструкции.
/[offtop]

Почему только 1.2? Там важна не версия протокола, а поддержка TLS расширений и конкретная реализация Heartbeat.

Разбудите меня через 10 лет и спросите, что творится в ИБ, и я вам сразу отвечу: фатальные дыры в OpenSSL.

Более обще:

The security community and the application developer community are disconnected.

Вся надежда опять только на соли от диджея профессора Бернштейна: NaCl. И спасение от квантового компьютера всерьёз предложил продвигать именно он.

Tor Browser 3.5.4 is Released.

The browser itself does not use OpenSSL, and is not vulnerable to this CVE. However, this release is still considered an important security update, because it is theoretically possible to extract sensitive information from the Tor client sub-process.

Обновляемся. Пользователи системного тора получили обновление OpenSSL в Debian ещё в полночь с 7-ого на 8-ое по Москве, с предупреждением в консоли перезапустить все использующие OpenSSL процессы. К утру вышла версия, которая сама находит и перезапускает всё связанное с OpenSSL, а затем предлагает для надёжности сделать по желанию ребут системы.

Отрасль подтянулась

Причём закоммитили это всё в OpenSSL неизвестные доброжелатели два года назад. Свободный софт это сила!

OpenSSL используют все подряд из-за лицензии, которая позволяет надергать код и использовать у себя в коммерческом продукте без юридических последствий. В результате при любой ошибке виноваты оказываются "неизвестные доброжелатели" в том, что по полдня можно эксплуатировать ошибки кода, потому как код OpenSSL цельнотянут в свой продукт и исправлять ошибки приходится уже самим.
Вот и вся стратегия отрасли.
Не нравится — не используй. Или исправь сам.

Свободный софт это сила!

/comment78287:

/comment78313:

Обновление к SSH вышло раньше и из-за других уязвимостей, не связанных с OpenSSL.

/faq/obschie?show_comments=1

Из-за открытости кода, основополагающие компоненты (ядро, базовые библиотеки, и т.д.) в большинстве своём действительно высокого качества и крайне безопасны. (Стандартный заезженный пример гласит, что за удалённо эксплуатируемую уязвимость, к примеру, в ключевом сервисе OpenSSH вы можете выручить денег, достаточных на покупку квартиры в Москве, и даже скорей всего не одной.

Скорей всего нИ одной квартиры вы таким путём не купите.

Почему?

Чёрный рынок эксплойтов, очевидно, что существует. Но продавать на нём что-то такое серьёзное и за большие деньги от частного лица крайне проблематично. Если только компания-подрядчик может делать тайные экспертизы исходников и сливать закрытые разработки в госорганы. Опять же, качеству открытого кода это не способствует. Скорее наоборот, невозможность легально, гарантировано и безопасно заработать денег на тайной продаже эксплойта, может двигать исследователей в направлении его открытой публикации.

/comment78315:

Congratulations, The heartbeat extension was not found while fingerprinting your SSL Sever ( pgpru.com )

Это правда? Вовремя обновили или просто версия OpenSSL на сервере была старой?

SATtva (08/04/2014 19:39):

Наверное, ещё эта ;)

Недавно это вспоминали. В частности, /comment56659.

Никто не говорит о легальной продаже. Это чёрный рынок, абсолютно чёрный, как чёрная дыра, и абсолютно нелегальный, но на нём тоже есть свои экономические законы, спрос, предложения, методы участия в сделках с приемлемо малым риском деанонимизации. Для домохозяек анонимность в интернете — тоже нечто невозможное, недостижимое и нереальное, но для замотивированных IT-специалистов этот вопрос лишь экономический. С участием в чёрном рынке всё обстоит так же.

Unknown, почему вы не вычищаете откровенные вбросы?

Он-лайн чекалка http://possible.lv/tools/hb/?domain=www.pgpru.com



Кто-нибудь знает, где найти уязвимый сайт?Looking for TLS extensions on https://www.pgpru.com

TLS extension 15 (heartbeat) seems disabled, so your server is probably unaffected.

Где-то ходили слухи, что в первый день много серверов оставались непропатчены и подключившись к кому-то наподобие почтовика yahoo через SSL, можно было выудить если не закрытый сертификат сервера, то сотни паролей пользователей, которые работали параллельно в тот же момент времени. Аналогично можно было вытаскивать закрытые данные с других ssl/https-серверов и пр.

Подозреваю, что множество сервисов тупо обновятся, но не сменят свои сертификаты, закрытая часть которых могла подвергнуться утечке, что уже никакой внешней чекалкой не проверить. Это же касается узлов и скрытых сервисов Tor — им нужно после обновления OpenSSL не просто рестартануться, а перед рестартом удалить всё содержимое /var/lib/tor/keys, чтобы ключи пересоздались заново. Причём, скрытым сервисам нужно как-то довести до пользователей свои новые адреса; обычным узлам и гвардам ждать, пока они накопят репутацию в статистике корневых директорий; а вот как будут менять ключи самих корневых директорий — неясно. Уровень доверия к сети Tor на ближайшее время несколько снижен.

В ближайшие дни сертификат pgpru тоже заменю. Хотя он не мог утечь через OpenSSL с сервера, у меня нет уверенности в StartSSL. В настоящий момент их сервер пропатчен, но я без понятия, какая версия стояла там до этой катастрофы.

Это же касается узлов и скрытых сервисов Tor — им нужно после обновления OpenSSL не просто рестартануться, а перед рестартом удалить всё содержимое /var/lib/tor/keys, чтобы ключи пересоздались заново.

Ключи обычных узлов сменятся сами через неделю. Долговременные identity keys не подвержены уязвимости, т.к. в норме не присутствуют в памяти. Долговременные ключи DA вообще в оффлайне. Вот HS'ы будут вынуждены переезжать.