OpenSSL 취약점. Heartbleed

“Heartbleed(심장 출혈)”라고 부르는 버그를 이용하면 최근 2년동안의 OpenSSL 버전이 설치된 시스템 메모리의 64KB 데이터를 공격자가 볼 수 있다.
- 정확한 취약성 이름은: CVE-2014-0160 OpenSSL Heartbleed
- 시스템 메모리에는 유저이름, 암호, 신용카드 정보 등의 데이터가 있고. 이것을 키를 이용해서 암호화한다.
- 이 키를 공격자가 얻을 수 있고. 암호화되지 않은 상태로 읽을 수 있다.
- 그리고 이 키를 가지고 다른 사람 행세를 하며 서버에 침입할 수 있다.

공격자가 https 서버의 SSL인증서 개인키를 얻을 수 있다.
FreeBSD 9.1에서 개인키가 보인 사례
- 이건 최악의 경우긴 한데. 현재 사용중인 SSL인증서를 revoke하고 재발행하는게 좋다.
- 만약 현재 운영하는 서버가 취약성있는 버전의 OpenSSL에서 서비스하고 있었다면. 최근 2년동안 SSL 인증서의 개인키가 털렸을 가능성이 있다.
https 서버의 메모리에 있는 사용자 정보가 노출될 수 있다. 만약 아파치에서 SSL을 처리하고 있다면 웹 어플리케이션 정보가 노출될 수 있다.
- yahoo.com에서 다른사람의 아이디, 비밀번호가 노출되는 사례
heartbleed 취약성을 이용하여 유저 세션을 하이재킹하는 방법

아래의 사이트에서 해당 웹서버가 영향을 받는지 아닌지 테스트할 수 있다.
- http://filippo.io/Heartbleed/#github.com
- 이 사이트의 소스코드는 https://github.com/FiloSottile/Heartbleed 여기 있는데, go로 작성되어 있다.
How to test if your OpenSSL heartbleeds
- 이 블로그를 보고 직접 서버에서 테스트 할 수도 있다.
Chromebleed 라는 크롬 확장도 나왔다.
- 현재 브라우징 하고 있는 사이트가 heartbleed 위험이 있는지 보여줌.
- (사실 이런 확장들이 위험이 있는 사이트들을 수집하고 있는게 아닌가 의심도..)
파이썬으로 작성된 테스트 스크립트. heartbleed-masstest

OpenSSL 1.0.1 ~ 1.0.1f 을 사용하지 않으면 안전하다.

sangwook@main:~$ openssl version -a
OpenSSL 1.0.1 14 Mar 2012

Amazon Linux에서 아래의 명령 후 서비스 restart

sudo yum clean all 
sudo yum update OpenSSL

ELB에서 SSL termination을 사용하는 경우 취약점이 여전히 있음. 관련 이슈는 아래의 링크들에서..

sudo apt-get update
sudo apt-get upgrade

또는

sudo apt-get update
sudo apt-get install libssl1.0.0