פרצת אבטחה OpenSSL

[smile1980]

פרצת אבטחה OpenSSL

שלום
יש לי פורטי 100A שהוא לא בחוזה עדכונים
רציתי לדעת אם משהו יודע האם פרצת אבטחה ב OpenSSL שנתגלתה לאחרונה חושפת את המוצר הזה לבעיית אבטחה?
מכוון שהמוצר לא בשרות לא ניתן לכתוב שאלה בפורום של פורטי

תודה

 

[SysAdmin1]

המוצר גמר את החיים שלו כבר ב 2006

את המוצר הזה הפסיקו לשווק כבר ב 2006 , כבר כחמש שנים יש לך מוצר שלא מקבל עדכוני אבטחה וסתימת פרצות . אני מקווה שלא מדובר על מוצר שמותקן בסביבת עבודה , ושזה משהו שאתה סתם משתעשע איתו מעת לעת והוא לא חשוף בצד אחד לאינטרנט ובצד שני לרשת ארגונית . אלה אם כן מדובר בזה שיש לכם חבורה של אנשים אמיצים ,שאין להם מה להפסיד . ובקשר לבעיה של Heartbleed , אפשר להשתמש בהמלצה של fortiguard ולהפעיל את חתימת IPS בשם OpenSSL.TLS.Heartbeat.Information.Disclosure ולדמיין כאילו זה מגן אליכם .

http://www.fortinet.co.th/support/products_eol.php.bk
http://www.fortiguard.com/advisory/FG-IR-14-011/

 

[xcalibur]

אתה יכול לבדוק בעצמך אם אתה חשוף

יש שלל אתרים שמציעים את השירות הזה בחינם.

 

[SysAdmin1]

כל "הבדיקות" של האתרים האלה מסתכמות ב...

כל "הבדיקות" של האתרים האלה מסתכמות בבדיקת שרות HTTPS שחשוף לאינטרנט וזה לא האיום המרכזי של הבעית heart bleed openssl ובטח לא מה ששואל רצה להתגונן מפניו . רוב האיומים של הפירצה הזו הם למערכות שמשתמשות ב OpenSSl לא לצורך השימוש ב HTTPS ,אלה לצרכי שירותי VPN , RADIUS , מרכזיות VoIP , ועוד הרבה אחרים . ומובן מאליו שאת האיומים האלה "בדיקות" של האתרים מהסוג המדובר לא יכולות לזהות . וגם בכל המערכות המדוברות לא מספיק להחליף את המודול OPENSSL למודול חדש , אלה לאחר מכן לבצע הנפקת של תעודות SSL חדשות וגם להחליף את הסיסמאות הרלוונטיות שSSL הגן עליהן .

 

[xcalibur]

זה למה הוא צריך לבדוק גם וגם.

ברוב האתרים האלו נותנים לך להכניס גם מספר פורט.
אני יכול להגיד לך שאצלי זה עלה יפה מאוד על הפרצה גם כאן וגם כאן.

 

[SysAdmin1]

אפשרות למספר פורט שונה לא נותנת שום פטרון..

אפשרות למספר פורט לא סטנדרטי שימושית רק למי שמפעיל את שרות HTTPS לא בפורט סטנדרטי 443 , אלה על פורט אחר . כל הבדיקה הזו לא רלוונטית למי שרוצה לבדוק שרות שהוא לא HTTPS , אלה שירותים אחרים שמשתמשים באותו מודול OPENSSL הבעייתי , כמו למשל OpenVPN , FreeRADIUS , Asterisk והרבה אחרים שחייבים שימוש ב SSL/TLS . ובשביל לבדוק את השירותים האלה יש צורך בבדיקה שתוכננה במיוחד לכל אחד ואחד מהם פרטני.

 

[xcalibur]

מה שאני אומר זה שאם השירות הזה פונה החוצה

לא תהיה שום בעיה להשתמש באתרים האלה.
ניסיתי בעצמי.

 

[SysAdmin1]

אם ניסיתה בעצמכה מה בידיוק קיבלתה כתגובה ? ..

אם ניסיתה בעצמכה מה בידיוק קיבלתה כתגובה ? כי אם מדובר על פנייה לשרת RADIUS או ל OpenVPN וכו' , אז דבר ראשון התקשורת בהם היא בכלל בדרך כלל UDP ולא TCP והאתרים המדוברים בכלל לא יכולים לתקשר UDP . וגם אם מגדירים את שרת OpenVPN לדוגמה שיאזין ל TCP ואפילו בפורט 443 כל מה שהאתרים האלה יוכלו להגיד לך זה שטויות כגון: Unable to get HTTP headers או משהו בסיגנון: Unable to extract SSL information . ובטח האתרי בדיקה שאתה מתכוון אליהם זה אתרים מהסוג של https://filippo.io/Heartbleed או בדיחה מהסוג הזה https://www.ssllabs.com/ssltest/analyze.html או אפילו בזה : https://lastpass.com/heartbleed . צירפתי צילום מסך מאתר כזה שניסה ללא הצלחה לבדוק את המצב של OpenSSL בשרת שמריץ את OpenVPN ב TCP ובפורט HTTPS סטנדרטי ( ניסיתי לעזור לאתר הזה בכל מה שאפשר , אבל לאתרים האלה לא יעזור כלום ) .

 

[xcalibur]

לא רלוונטי לפותח השרשור

מה שרלוונטי למה שהוא רשם כאן זה SSL VPN וה-WEB HTTPS שם זה מזוהה ללא כל בעיה. את אלו גם בדקתי בעצמי.

 

[SysAdmin1]

מה שרלונטי לפותח השירשור זה ...

מה שרלונטי לפותח השירשור זה נושא של fortios והשירותים שזקוקים למודול המדובר של OPENSSL, וזה SIP over SSL/TLS , RADIUS ו SSL VPN שאף אחד מהם לא רלוונטי לאתרים האלה והם לא יכולים לבדוק. כל מה שהאתרים האלה כן יכולים לבדוק זה רק את HTTPS וזה באמת לא רלוונטי בשבילו