ওপেনএসএল (হৃদয়যুক্ত) আপডেট করার পরে কি আমাকে আমার স্নোপয়েল শংসাপত্রটি আপডেট করতে হবে?


8

আমি সবেমাত্র আমার ডেবিয়ান হুইজি সার্ভারকে ওপেনসেল প্যাকেজের নতুন সংস্করণে আপডেট করেছি যাতে হৃদয়যুক্ত বাগটি ঠিক করা হয়েছে।

আমি আমার সার্ভারে এসএসএল সমর্থন করি তবে কেবল একটি স্নোয়েল শংসাপত্র দিয়ে। আমি কেবল ভাবছিলাম যে সানপয়েল সার্টিটি আপডেট করার বিষয়ে আসলেই কোনও সুরক্ষা উদ্বেগ আছে বা আমি যেভাবে যাইহোক এটি একটি স্নোয়েল সার্টের কারণে এটি ছেড়ে দিতে পারি?

এই প্রশ্নটি এসএসএল সম্পর্কে আমার জ্ঞানের অভাব থেকে আসতে পারে ... তবে আমার স্নায়োয়েল সার্টিফিকেট পরিবর্তন করতে হবে এবং যদি হ্যাঁ, তবে কেন :) কোনও ব্যাখ্যা দেওয়ার জন্য আগাম ধন্যবাদ :)

উত্তর:


8

না, সেগুলি আপডেট করার জন্য আপনাকে বিরক্ত করার দরকার নেই।

এটি সত্য যে এখন হৃদয়যুক্ত বাগটি আপনার ব্যক্তিগত কীটি উন্মুক্ত করেছে, আপনার ব্যবহারকারীরা এবং আপনার সার্ভারের মধ্যে নেটওয়ার্কের পথে থাকা কোনও তৃতীয় পক্ষ ("মাঝখানে মানুষ") সমস্ত ডেটা যেমন এনক্রিপ্ট করা হয়নি তা দেখতে পাবে।

তবে স্নোপয়েল শংসাপত্রগুলির জন্য, এটি আপসহীন কীগুলির নিয়মিত ব্যবহারের ক্ষেত্রে থেকে খুব বেশি আলাদা নয়, কারণ নন-সিএ শংসাপত্রগুলিতে এমআইটিএম আক্রমণটি সমান তুচ্ছ । (মনে রাখবেন যে এই দুটি সুরক্ষা ইস্যুর মধ্যে এক সাম্প্রতিক পার্থক্য রয়েছে, তবে বাস্তবে তারা একই "ওজন" এর, তাই এটি বাস্তব জগতে খুব বেশি পার্থক্য না করে)

যেহেতু আপনি স্নোপয়েল শংসাপত্রগুলি (নিজের নিজের পরিবর্তে বা অন্য কোনও বিশ্বস্ত সিএ ব্যবহার করছেন) ব্যবহার করছেন এবং সম্ভবত এই জাতীয় শংসাপত্রগুলির কোনও সতর্কতা উপেক্ষা করা উচিত, আপনার সচেতন হওয়া উচিত যে এই জাতীয় এসএসএল সংযোগের কোনও ডেটা ব্লেটেক্সট সংযোগের চেয়ে কোনও নিরাপদ নয়। স্নোপিল্ড শংসাপত্রগুলি কেবলমাত্র তাই উদ্দেশ্যে করা হয় যাতে আপনি প্রকৃত শংসাপত্র ইনস্টল করার আগে প্রযুক্তিগতভাবে সংযোগগুলি পরীক্ষা করেন (হয় নিজের সিএ দ্বারা স্বাক্ষরিত এবং আপনার পিকেআই-র উপর নির্ভর করে - পছন্দনীয় তবে আরও কাজ; অথবা কিছু বাণিজ্যিক সিএ-তে বিশ্বাস রাখা, এবং কম কাজের জন্য অর্থ প্রদান করা কিন্তু কম) নিরাপত্তা)

সুতরাং সাধারণভাবে হৃদয়যুক্ত বাগের দুটি প্রভাব রয়েছে:

  1. এলোমেলো মেমরি পড়ার অনুমতি; সুরক্ষা আপডেট প্রয়োগের মুহুর্তটি ঠিক হয়ে গেছে
  2. আপনার সিএ-স্বাক্ষরিত এসএসএল শংসাপত্রগুলি এখন (নিরাপত্তা অনুসারে) স্নোপাইলের মতো মূল্যহীন (এবং তাই বিশ্বস্ত উত্স থেকে পুনরায় জেনারেট এবং পুনরায় প্রকাশ করতে হবে) আপনাকে নিশ্চিত করে না uns এবং যদি আপনি প্রথম স্থানে স্নোপয়েল ব্যবহার করে থাকেন তবে এটি অবশ্যই অ ইস্যু।

6
"আপনার সংযোগটি বর্তমানে যাইহোক প্লেইন টেক্সটের সমান" অংশের জন্য +1
প্লাজমাএইচএইচ এইচআর

13

ভাল, শুরু করার জন্য আপনি একটি snakeoilসার্টি ব্যবহার করা উচিত নয়

হৃদরোগযুক্ত আক্রমণকে সঠিকভাবে প্রশমিত করার জন্য আপনাকে অবশ্যই তা করা উচিত হার্টবেলযুক্তসম্ভাব্য আপোস করা শংসাপত্রগুলি প্রত্যাখ্যান, যা আপনি সাধারণতsnakeoilবা স্ব স্বাক্ষরিতশংসাপত্রগুলির সাথে করতে পারেন না।

আপনি যদি সত্যিকারের শংসাপত্র কর্তৃপক্ষ জারি করা শংসাপত্রগুলি বহন করতে না পারেন (বা আপনি একটি ব্যক্তিগত পরিবেশে কাজ করছেন) আপনার নিজের সিএ স্থাপন করা উচিত এবং একটি যথাযথ শংসাপত্র প্রত্যাহার তালিকা প্রকাশ করা উচিত যাতে আপনি এই জাতীয় আপসগুলি হ্রাস করতে পারেন (পাশাপাশি হারিয়ে যাওয়া কীগুলি) ইত্যাদি)
আমি জানি এটি আরও অনেক বেশি কাজ, তবে এটি করার সঠিক জিনিস।


যা যা বলেছিল, হ্যাঁ - আপনি যদি ভবিষ্যতের যোগাযোগের সুরক্ষা এবং অখণ্ডতা নিশ্চিত করতে চান তবে আপনাকে অবশ্যই এই শংসাপত্রটি এবং কীটি প্রতিস্থাপন করতে হবে , তাই এখন কোনও পরিচিত শংসাপত্র কর্তৃপক্ষের জারি করা কীটিতে স্যুইচ করা বা নিজের প্রতিষ্ঠিত করার জন্য ভাল সময় অভ্যন্তরীণ সিএ


1
স্নাপল বা অন্যান্য স্ব-স্বাক্ষরিত শংসাপত্রগুলির সুরক্ষা অভাব সম্পর্কে ইঙ্গিত করার জন্য ধন্যবাদ!
প্রিক্সো

5

ধরে নিই যে আপনি (বা ক্লায়েন্ট, ব্যবহারকারীগণ) এসএসএলের সংবেদনশীল তথ্যটি কখনও পাস করেছেন বা পাস করবেন, হ্যাঁ। পাসওয়ার্ডস, অন্য কিছু যা আপনি চেয়েছিলেন এনক্রিপ্ট কারণ আপনি এটি সরলরেখায় চান নি। হ্যাঁ.

যদি আপনি সত্যিই যত্নবান না হন যদি প্লেটেক্সট হিসাবে সেই জিনিসগুলি বন্যের মধ্যে সম্ভাব্য হয় তবে তা করবেন না।

আপনি যদি যত্ন নেন তবে নতুন শংসাপত্রটি দেওয়ার আগে আপনার ব্যক্তিগত কীটি পরিবর্তন করতে ভুলবেন না।

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.