SSL脆弱性問題メモ(2014年)

SSLの脆弱性の問題が発生して世間の似非IT知識人がまたうるさいことを言い出している。脆弱性の問題になっているのはOpenSSLの
OpenSSL 1.0.1 から 1.0.1f
OpenSSL 1.0.2-beta から 1.0.2-beta1
となっています。例外的にAWSやCentOS6などでは事前に修正パッチをあてていたらしく、上記に該当するが以下は例外的に大丈夫ということになっています。
Amazon Linux openssl-1.0.1e-37.66.amzn1.x86_64
RHEL 6.5 openssl-1.0.1e-16.el6_5.7.x86_64
CentOS 6.5 openssl-1.0.1e-16.el6_5.7.x86_64
というのはともかく今日明日じゅうに誰かに暗号化を解かれてしまうという問題ではないので、何となく普通に運営しているサイトではここ数日中に修正しておけば問題無いレベルであり何とかフォームとかいうぐらいだったら特に更新する必要も実際はなかったりします。とはいえ、有志の方が脆弱性のテストサイトを作成しているので利用してみては如何でしょうか。
https://filippo.io/Heartbleed/

取り急ぎ自分のOpenSSLのバージョンなどを確認
# yum info openssl
または、
# rpm -qa | grep openssl
openssl-1.0.1e-16.el6_5.7.x86_64
openssl-devel-1.0.1e-16.el6_5.7.x86_64
という感じでバージョンを確認。該当していない場合は問題なし。
更新が必要な場合は、
# yum update -y openssl
で更新してしまいます。私はCentOS6とUbuntu/DebianぐらいのOSしか触らないのですが、OSによってはリポジトリの変更が必要だったりいろいろしますのでここでは割愛します。Apacheの再起動を忘れずに。
これで普通にSSLが動いてしまうのが何なのですが、SSLの再発行をしないと意味がないです。CSRを作成して注意喚起をしてくれたSSLの発行元に再発行依頼してください。無料。