Heartbleed

[HiTecci]

This site is vulnerable! 

The domain www.vagarena.fi could be vulnerable to the Heartbleed SSL bug.

[JarnoF]

Jep. Kattelin juuri samaa Tietokone-lehden uutisen innoittamana.

Mutta eihän täällä Areenalla käsitellä muutenkaan salattuna yhtään mitään?

[seppotaas]

Niin vikahan on serverin päässä josta on mahdollisuus on saada tunnarit ja salasanat... siis https/ssl käytetään toimintojen/alustan päivitykseen... vaikka käyttäjät ei olekkaan https yhteydessä.

[MoFFe]

Eiku päivittämään vaan!!

Oon saanut melkoisesti maileja eri forumeilta/webbisivuilta että ovat päivittäneet tuon bugin takia ja kannatta myös ihan varmuuden vuoksi myös itse muutta salasanojaan.

[JarnoF]

Eiku päivittämään vaan!!

Oon saanut melkoisesti maileja eri forumeilta/webbisivuilta että ovat päivittäneet tuon bugin takia ja kannatta myös ihan varmuuden vuoksi myös itse muutta salasanojaan.

Mutta eikö siinä tapauksessa kannata se salasana päivittää vasta sitten, kun reikä on tukittu? Muutenhan se uusikin salasana urkitaan pian vaihtamisen jälkeen? Ei Vagiareena ole ainakaan vielä antanut minkäänlaista lausuntoa.

[MoFFe]

Mutta eikö siinä tapauksessa kannata se salasana päivittää vasta sitten, kun reikä on tukittu? Muutenhan se uusikin salasana urkitaan pian vaihtamisen jälkeen? Ei Vagiareena ole ainakaan vielä antanut minkäänlaista lausuntoa.

Aivan! Siis olen saanut mailin että ovat päivitäneet sivut ja sen takia kannattaa myös päivittää omat salasanat.

[HiTecci]

Aivan! Siis olen saanut mailin että ovat päivitäneet sivut ja sen takia kannattaa myös päivittää omat salasanat.

Mutta tämä ei siis koske vielä VAG-Forumia, sillä yhä vain Chrome-lisäke tuossa par'aikaa ilmoittelee jotta haava on ja voi hyvin

[MoFFe]

Mutta tämä ei siis koske vielä VAG-Forumia, sillä yhä vain Chrome-lisäke tuossa par'aikaa ilmoittelee jotta haava on ja voi hyvin

Aivan... VAGarena pitäisi korjata tämän!!! Niin pian kun vaan mahdollista... Toisaalta onneksi en käytä samaa salasanaa muissa paikoissa kun täällä

[Jyri]

Heartbleed korjaus on asennettu palvelimelle viime yönä, eli suosittelemme varmuuden vuoksi kaikkia käyttäjiä vaihtamaan salasanansa.

[HiTecci]

�,,läppäs luota tuohon vaan testaa itse

https://filippo.io/Heartbleed/#www.vagarena.fi

x509: certificate is valid for *.dotcom.fi, dotcom.fi, not www.vagarena.fi

https://filippo.io/Heartbleed/#dotcom.fi

dotcom.fi IS VULNERABLE.

[Jyri]

Totta, kiitos, tutkivat asiaa...

[HiTecci]

Dodii

All good, dotcom.fi seems fixed or unaffected!

[Jyri]

Juu, olivat kuulemma ajaneet tuon korjauksen jo aiemmin, mutta jostain syystä ei ollut aktivoitunut, mutta tosiaan näyttäisi olevan kaikki kunnossa.

[MoFFe]

Mainiota! Nyt vaan salasanat vaihtoon! 

[tet]

Juu, olivat kuulemma ajaneet tuon korjauksen jo aiemmin, mutta jostain syystä ei ollut aktivoitunut, mutta tosiaan näyttäisi olevan kaikki kunnossa.

Kenties unohtivat startata ohjelmat uudestaan. Vaikka kirjasto olisi vaihdettu paikattuun levyllä, käyttävät ajossa olevat ohjelmat muistissa olevaa vanhaa versiota niin kauan kunnes ne käynnistetään uudelleen.

Vaikka varsinainen aukko onkin paikattu, näyttää varmenne olevan vielä vanha. Ainakin varmenteen päiväys on viime vuodelta. Meihin käyttäjiinhän tuo ei vaikuta, koska meidän liikenne ei ole muutenkaan kryptattua. Mutta jos kryptatuissa ylläpitoyhteyksissä käytetään vielä samaa varmennetta joka oli käytössä ennen bugikorjausta, voi teoriassa jollakulla hyökkääjällä (NSA ) olla hallussaan tuon varmenteen salainen avain. Näinollen hyökkääjä (NSA ) voi mahdollisesti lukea Jyrin ylläpitoliikennettä kuin avointa kirjaa.

[Jyri]

Mulla on kyllä uudet varmenteet tulleet käyttöön.

[HiTecci]

Meihin käyttäjiinhän tuo ei vaikuta, koska meidän liikenne ei ole muutenkaan kryptattua.

No jaa
http://www.tietokone.fi/artikkeli/uutiset/heartbleed_murtajalle_ei_tule_hiki_suomalainen_kertoo_softa_teki_tyon_mina_tein_ruokaa

Salausavaimella voi päästä käsiksi sivustojen salattuun informaatioon kuten käyttäjätunnuksiin, salasanoihin, pankkitietoihin ja terveysdataan.

Hänen mukaansa seuraukset ovat ”päätähuimaavia”. Aukko mahdollistaa nykyisten tietojen varastamisen sivustoilta, mutta myös minkä tahansa aiemmin samalla salausavaimella suojatun tiedon hyödyntämisen.

Käytännössä siis murrettu avain antaa pääsyn myös meidän tavis-käyttäjienkin salasanoihin yms. vaikka me ei https-liikennettä käytetäkään

[tet]

No jaa
http://www.tietokone.fi/artikkeli/uutiset/heartbleed_murtajalle_ei_tule_hiki_suomalainen_kertoo_softa_teki_tyon_mina_tein_ruokaaKäytännössä siis murrettu avain antaa pääsyn myös meidän tavis-käyttäjienkin salasanoihin yms. vaikka me ei https-liikennettä käytetäkään

Analyysisi on väärä. Heartbleedin avulla murtautuja saa luettua kerrallaan max. 64 kilotavua "luvatonta" dataa palvelimen muistista. Mitä tuo 64 kilotavua sisältää, riippuu siitä mitä tuossa muistissa on aiemmin ollut ennen kuin se on vapautettu. Se on siis täysin sattumanvaraista dataa, mutta siellä voi olla juuri esim. salasanoja tai vaikkapa palvelimen varmenteen salainen avain.

Kun sanoin ettei koske meitä tavallisia käyttäjiä, tarkoitin ettei koske enää nyt kun aukko on paikattu (ja kun olemme vaihtaneet omat salasanamme). Tällöin hyökkääjä ei enää pääse meidän tietoihimme vahingossakaan käsiksi aukon kautta, kun aukkoa ei enää ole. Mutta jos palvelin käyttää samaa varmennetta kuin aukon ollessa avoinna (Jyrin tietojen mukaan ei enää käytä) niin silloin salatun yhteyden lukeminen on mahdollista jos hyökkääjä pääsee lukemaan dataa siirtotieltä ja hänellä on aiemmin heartbleedin kautta ronkittu salainen avain hallussaan. Samalla tekniikalla hän pääsee aina käsiksi meidän salasanoihimme, koska tätä normaalia foorumin käyttöä ei ole salattu (käytössä on http, ei https-protokolla). Joten meidän tietoturvaamme se mahdollinen aiemmin varastettu varmenne ei vaikuta, koska sitä turvaa ei ole eikä ole koskaan ollutkaan tällaisessa man-in-the-middle -skenaariossa, käytetystä salaamattomasta liikenteestä johtuen.

[HiTecci]

Joten meidän tietoturvaamme se mahdollinen aiemmin varastettu varmenne ei vaikuta, koska sitä turvaa ei ole eikä ole koskaan ollutkaan tällaisessa man-in-the-middle -skenaariossa, käytetystä salaamattomasta liikenteestä johtuen.

No juu, totta tuokin. Miksi ronkkia dataa jonkin https-aukon kautta kun se on http-tarjottimella jo muutenkin

[jlindstrom]

No juu, totta tuokin. Miksi ronkkia dataa jonkin https-aukon kautta kun se on http-tarjottimella jo muutenkin

Samaa katselin tuossa itsekkin. Joskus olisi parempi olla vaan hiljaa tai vastata vähemmän täydellisesti :-)


Sent from my iPad using Tapatalk HD