Como posso verificar se os certificados gerados com o openssl são vulneráveis ao heartbleed

5

Estou ciente de que você pode mostrar a versão do openssl que você está usando digitando o seguinte na linha de comando "openssl version".

Eu criei um certificado e uma chave há algum tempo com nomes semelhantes ao server.cer e server.key.

O problema que tenho é que não tenho certeza de qual versão do openssl eles foram criados. Existe um comando que você pode usar para encontrar com qual versão do openssl eles foram criados? Os certificados e chaves armazenam essas informações.

Estou tentando confirmar se eles estão vulneráveis ao problema de segurança heartbled do openssl.

    
por user1153199 09.04.2014 / 09:12

1 resposta

17

Um certificado não é vulnerável, ou não, a heartbleed. Um certificado é apenas um certificado. Ocorreram problemas de criptografia no passado, particularmente no que diz respeito ao RNG de escolha, que causaram a criação de chaves fracas (e, portanto, certificados vulneráveis), mas o heartbleed não é uma vulnerabilidade desse tipo.

Um par de chave / certificado pode ter sido comprometido pelo heartbleed, independentemente da versão do OpenSSL com o qual foi criado ou mesmo se foi criado por uma implementação SSL completamente diferente, se foi usado em um servidor que oferecia serviços TLS para o público usando uma versão vulnerável do OpenSSL.

Se não foi usado dessa forma, ele não pode ter sido comprometido pelo heartbleed, mesmo que tenha sido criado em um servidor que, naquele momento, estava executando uma versão vulnerável do OpenSSL.

(Agora para o bit da vida mais complicado do que você gostaria: if você criou o par chave / certificado (ou par chave / CSR) em um servidor e esse servidor estava executando uma versão vulnerável do OpenSSL e você estava conectado a esse servidor por um método vulnerável a explorar (por exemplo, OpenVPN, mas não OpenSSH) e você expôs o conteúdo do arquivo de chaves criado ao fluxo de conexão, por exemplo, cat'ing o arquivo ou copiando-o pela conexão, então é possível que o certificado tenha sido comprometido. Mas isso ainda não é uma vulnerabilidade no certificado , e não é detectável pelo exame do certificado (ou de qualquer outra forma, até onde eu saiba).

    
por 09.04.2014 / 09:17