Hur vet du om du är infekterad av Heartbleed

Heartbled OpenSSL bugg är en allvarlig bugg som påverkar massor av Unix/linux maskiner, bland annat Debian. Man bör handla så fort som möjligt då man upptäckt att man har buggen, eftersom det finns människor som utnyttjar detta säkerhetshål och information sprids så fort som det bara går.

Problemet ligger i OpenSSL programvara för kryptering, buggen innebär att det är möjligt att stjäla information utan att bli sedd under normala omständigheter, genom SSL/TLS krypteringen som används för att surfa säkert på nätet. Heartbleed buggen tillåter vem som helst på nätet att läsa av minnet på dom maskinerna som använder den skadliga versionen av OpenSSL.
Det handlar om dom hemliga nycklarna som används för att identifiera tjänsten mot leverantören, och att kryptera trafiken, namn och lösenord för användare.

Detta tillåter exempelvis hackare att avlyssna på samtal, stjäla data direkt från datorerna eller uppträda som användare/system för att kunna lura andra användare/system.

Det är enkelt att använda sig av denna bugg för att stjäla information från infekterade system utan att ha någon som helst access till systemet.
Om du vill ta reda på om din server är infekterad och se vad den kan skicka ut för information så kan du använda pyton scriptet : hb-test.py

För att använda detta script måste du ha python installerat och sedan köra följande kommando
python hb-test.py www.example.org

Ersätt www.example.org med den domän du vill testa.

På en infekterad maskin kommer du få ett resultat som påminner om detta:

Connecting…
Sending Client Hello…
Waiting for Server Hello…
… received message: type = 22, ver = 0302, length = 58
… received message: type = 22, ver = 0302, length = 2338
… received message: type = 22, ver = 0302, length = 525
… received message: type = 22, ver = 0302, length = 4
Sending heartbeat request…
… received message: type = 24, ver = 0302, length = 16384
Received heartbeat response:
0000: 02 40 00 D8 03 02 53 43 5B 90 9D 9B 72 0B BC 0C .@….SC[…r…
0010: BC 2B 92 A8 48 97 CF BD 39 04 CC 16 0A 85 03 90 .+..H…9…….
0020: 9F 77 04 33 D4 DE 00 00 66 C0 14 C0 0A C0 22 C0 .w.3….f…..”.
0030: 21 00 39 00 38 00 88 00 87 C0 0F C0 05 00 35 00 !.9.8………5.
0040: 84 C0 12 C0 08 C0 1C C0 1B 00 16 00 13 C0 0D C0 …………….
…
3fd0: 61 74 65 64 50 6C 75 67 69 6E 73 00 A8 02 00 00 atedPlugins…..
3fe0: 29 00 00 00 1C F0 AD B8 1C F0 AD B8 00 FD A8 B8 )……………
3ff0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 …………….

WARNING: server returned more data than it should – server is vulnerable!

Du kan även använda dig av OpenSSL versionen för att se om du är i farozonen

apt-cache policy openssl

Resultatet ser då ut som detta:

openssl:
Installed: 1.0.1e-2+deb7u4
Candidate: 1.0.1e-2+deb7u4
Version table:
*** 1.0.1e-2+deb7u4 0
500 http://ftp.uk.debian.org/debian/ wheezy/main amd64 Packages
100 /var/lib/dpkg/status
1.0.1e-2+deb7u3 0
500 http://security.debian.org/ wheezy/updates/main amd64 Packages

Version 1.0.1e-2+deb7u4 är infekterad så om du har den så bör du uppdatera systemet.

För att åtgärda detta behöver du enkelt uppdatera systemet

apt-get update
apt-get upgrade

Efter uppdatering kan du köra om kommandot för att se om uppdateringen gått igenom.

apt-cache policy openssl

Resultatet ska då se ut i stil med detta:

openssl:
Installed: 1.0.1e-2+deb7u6
Candidate: 1.0.1e-2+deb7u6
Version table:
*** 1.0.1e-2+deb7u6 0
500 http://security.debian.org/ wheezy/updates/main amd64 Packages
100 /var/lib/dpkg/status
1.0.1e-2+deb7u4 0
500 http://ftp.uk.debian.org/debian/ wheezy/main amd64 Packages

Version 1.0.1e-2+deb7u6 är åtgärdad och inte skadlig mot Heartbeat OpenSSL buggen