OpenSSL Heartbleed bug

Nej, även om du har ett certifikat som är utfärdat innan 7/8 april kan du ju ha nyare (eller äldre) version av openssl som inte är påverkad av detta.
Dessutom påverkas ju inte IIS av detta, så certifikat som ligger på webbservrar som kör windows och IIS behöver ju nödvändigtvis inte förnyas

Att ett certifikat är utfärdat innan april i år betyder alltså inte automatiskt att det är kompromissat av buggen.
Sedan är det ju inte i certet felet ligger, utan att den privata nyckeln på servern kan ha läckt ut vilket gör certifkatet osäkert då utomstående kan dekryptera trafiken.

Hmm nu blev jag lite fundersam, sweclockers kör ju okrypterat och när jag loggar in skickas mitt lösenord i klartext ser jag nu i wireshark.
Får kolla med dom vad dom säger, känns ju lagom bra.
Aldrig reflekterat över detta.

Ha, det hade jag ingen aning om.
Tycker ändå det känns lite dumt att skicka lösenord i klartext men ska det vara så så är väl det okej.

Randall Munroe på XKCD har i sedvanlig ordning knåpat ihop en suveränt enkel förklaring. Den här gången av Heartbleed...

Visa innehåll

Dold text

Roligt hur massmedia blåst upp det här med "60% av webben använder OpenSSL" och "buggen har funnits i två år".

Rent krasst är väl ovanstående sant men om man kollar lite på "Enterprise OS" blir bilden av det hela lite nyktrare.
Följande produktions OS var aldrig sårbara:
* SLES
* RHEL/CentOS 5.X samt <6.5
* Debian 6
* FreeBSD <=9.2
* Solaris 11(?)

Av de som var sårbara:
* Ubuntu 12.04 släppt 2012/04/26
* OpenBSD =>5.3 släppt 2013/05/01
* Debian 7 släppt 2013/05/04
* RHEL/CentOS 6.5 släppt 2013/11/21
* FreeBSD 10 släppt 2014/01/20

FreeBSD avser naturligtvis OpenSSL versionen som skeppas med bassystemet och inte den version som finns i ports.

Edit: lyckats inte hitta något vettigt för IBM AIX/HP-UX.