Heartbleed – Ubuntu openssl aktualisieren
Die Sicherheitslücke Heartbreak/Heartbleed schlägt augenblicklich zu Recht große Wellen. Die Betreiber von Servern mit OpenSSL sollten daher auf die neueste Version 1.0.1g von OpenSSL aktualisieren,
Problem:
Wie aktualisiere ich die OpenSSL Version meines Ubuntu-Servers?
Lösung:
Nun, über die Plesk-Verwaltungsoberfläche eines Servers wird weder ein Update der OpenSSL-Komponente noch ein Update des Plesk-Administrationsprogramms von Parallels angeboten. D.h. man muss als Administrator des Servers auf Root-Ebene eine Aktualisierung durchführen. Glücklicherweise haben die Markführer bei den Linux-Distributionen schnell reagiert und bieten einen Patch bzw. eine neuere OpenSSL Version an.
Hier der Ablauf bei einem Server mit Ubuntu 12.04.4 LTS:
- Schritt: Sicherung des Servers
(für den Fall der Fälle immer erforderlich) - Schritt: Welche OpenSSL Version ist zur Zeit installiert?
LinuxPrompt# openssl version Antwort# OpenSSL 1.0.1 14 Mar 2012
- Schritt: Verwundbarkeit testen
VOR OpenSSL-Update
Es gibt viele Testseiten, mit denen man seinen Server auf die Verwundbarkeit durch den Heartbleed Bug testen kann. Mein Favorit ist die Seite von possible.lv
- Schritt: OpenSSL aktualisieren
Hierzu sind zwei Befehle auf Linux-Root-Ebene abzusetzen
[java]apt-get update apt-get upgrade[/java] - Schritt: Welche OpenSSL Version ist zur Zeit installiert?
[java]LinuxPrompt# openssl version&amp;lt;br /&amp;gt;&lt;br /&gt;<br /><br />
Antwort# OpenSSL 1.0.1 14 Mar 2012[/java](Die Versionsabfrage zeigte bei mir hier also kein 1.0.1g an. Vielleicht wird dies bei einem Sicherheitspatch nicht verändert? –> Weiterer Verwundbarkeitstest erforderlich.
- Schritt: Abschlusstest, Verwundbarkeit testen
NACH OpenSSL-Update
Erneuter Testaufruf des Servers über die Seite von possible.lv
Dieses Mal mit positivem Ergebnis (grün).
(Ein Klicken auf die beiden Screenshots zeigt ein vergrößertes Bild.)
Links:
[1] possible.lv Heartbleed-Test [2] Zeitschrift Chip: OpenSSL-Heartbleed, So sichern Sie ihren Rechner ab [3] Heise Verlag: SSL-Gau, So testen Sie Programme und Online Dienste [4] Danimo’s Blog: The Incomplete SSL/TLS Bookmark Collection [5] Qualys: SSL Server Test
