最终用户是否需要对Heartbleed安全漏洞做任何事情？什么？

我在新闻中看到了“Heartbleed”安全漏洞。作为最终用户，我需要对此做些什么吗？

security passwords openssl heartbleed

— danorton
source

它表明缺乏对OpenSSL问题的研究，这是服务器方面的明确问题。

— Ramhound 2014年

@Ramhound你能提供一个参考吗？客户端应用程序可以链接到OpenSSL库以提供与SSL / TLS相关的功能（参见例如此）。此外，来自heartbleed.com（大胆突出我的）：“ 当它被利用时，它会导致内存内容从服务器泄漏到客户端，从客户端泄漏到服务器。 ”

— Daniel Beck

@DanielBeck，Ramhound贬低了这个问题。任何人都可以添加“否”答案。（我甚至没有选择答案。）

— danorton 2014年

虽然泄漏可能发生在两端，但恶意黑客不会攻击客户端。我支持我关于缺乏研究的陈述。此外阿帕奇是从我读的目标

— Ramhound

@Ramhound你读错了。任何链接OpenSSL的东西都是目标。现在，包括Apache。但它绝不仅限于Apache。此外，我仍然不明白你怎么认为这没有得到适当的研究。此外，你刚刚成为计算机安全中6个最愚蠢的想法中的一个小傻瓜的牺牲品- “我们不是目标”不是一个论点。

— 2014年

Answers:

是!

了解并让其他人知道，所有可能已透露的信息仅通过HTTPS为全球许多Web服务器加密。
您应该联系您的服务提供商并确认他们有计划或已经采取必要措施来纠正漏洞（假设他们容易受到攻击）。这尤其包括银行，金融机构和其他提供最有价值和最敏感信息的服务。在他们确认已应用更正之前，他们通过HTTPS提供的信息仍然容易受到攻击。
您的服务提供商可能会禁用您之前的密码或以其他方式要求您更改密码，但是，如果他们不这样做，请在应用更正后更改密码。

您可以在http://heartbleed.com/上找到基本信息。

有关更多技术信息，请访问：

对于那些不是最终用户的人，请在serverfault上查看此问题：

— danorton
source

作为Linux最终用户，我在我的笔记本电脑（Debian Wheezy）中安装了OpenSSH 1.0.1e。我还有什么可担心的吗？

@StaceyAnne OpenSSH不受影响，OpenSSL是。那是一个错字吗？

— 2014年

是的，这是一个错字。

You should contact your service providers and confirm that they have plans or have already taken the necessary steps to correct the vulnerability

我认为服务提供商是指网站而不是ISP？

— Synetech 2014年

@Synetech，goog点，但措辞很尴尬。您无法联系“网站”。我想知道那里会有更好的术语。

— danorton 2014年

作为Linux用户，我在我的Debian 7.0（wheezy）安装上安装了OpenSSL 1.0.1e 。

要修复它，我这样做了：

apt-get update
apt-get upgrade openssl

这将重新安装OpenSSL并将其替换为1.0.1e-2，即Debian Wheezy的固定OpenSSL。

主要问题实际上是在服务器端，但如果安装了客户端OpenSSL，那么最好将其升级，只是为了确定。有关详细信息，请参阅Debian Security Advisory，DSA-2896-1 openssl - 安全更新。

— 彼得莫特森
source

一旦有固定版本，您还应该升级使用OpenSSL的TLS / SSL客户端。特别是FTPS（FTP over TLS / SSL）客户端。

幸运的是，在客户端中利用漏洞比在服务器中更不可能。

也可以看看：

— 马丁普里克里尔
source

当我说我仍然使用Outlook Express 6时，人们犹豫不决。谁现在在笑？:-P

— Synetech 2014年