하트블리드(Heartbleed)라고 불리는 결함인데, 프라이빗 키가 유출될 수 있는 심각한 위험이라고 합니다.
취약 버전은 1.0.1에서 1.0.1f까지라고 합니다.
오픈SSL 1.0.0과 0.9.8을 취약 버전에 포함되지 않는다고 하네요.
취약 버전의 오픈SSL을 갖고 있는 운영체제들은 데비안 위지(debian wheezy), 우분투(Ubuntu) 12.04.4 LTS, 센트(Cent)OS 6.5, 페도라(Fedora) 18, 오픈(Open)BSD, 프리(Free)BSD 8.4, 넷(Net)BSD 5.0.2 그리고 오픈수세(OpenSUSE) 12.2 등이라 합니다.
하트블리드 버그에 대한 대응책 (By, 빛스캔 전상훈 이사)
우선 기업이나 서비스의 상황을 살펴 보면 단순한 패치로 문제가 해결되기 어려우며,
우선적으로 자사가 SSL 이용하는 부문에서 오픈SSL을 사용하는지 확인하고 패치하는 것이라고 합니다.
1. SSL 버전 확인 - 패치 적용, 기본 2. 업그레이드 불가한 곳은 OpenSSL 하트비트(Heartbeat) 옵션 제거 후 재컴파일 및 사용 3. 중요도가 높거나 사용자가 많은 대외 서비스의 경우, 서비스 SSL 인증서 재발행 필요 4. 전체 IP 대역에서의 443 포트 활용 및 SSL 활용 유무 체크: SSL 하트비트 취약점을 이용해 메모리 값을 불러 올 수 있는 진단 프로그램을 전체 활용 5. 보안 제품, VPN, 메일 등 모든 제품에서의 SSL 옵션 사용하는 곳들도 동일하게 확인
이 과정에서 서비스나 네트워크의 간헐적인 중단이 예상되며,
대부분의 보안 장비들이 SSL 지원을 하고 있으니 모두 체크 사항에 포함된다"고 합니다.
참고로,
오픈SSL은 웹 서버(Web servers)에서 가장 널리 사용되는 두 가지인 아파치(Apache), 그리고 엔진X(nginx)에 들어가는데,
이 코드 라이브러리들은 이메일 서버, 채팅 서버, VPN(virtual private networks), 그리고 다른 네트워킹 어플라이언스를 보호하는데 사용된다고 하네요.
