Detta är en översättning av

<https://isc.sans.edu/diary/How+to+talk+to+your+kids+%28or+manager%29+about+%22Heartbleed%22/17943>

Publiserad: 2014-04-11
Senast Uppdaterad: 2014-04-11 12:15:54 UTC
av Johannes Ullrich (Version: 1)

Hur man pratar med sina barn (eller chef) om "Heartbleed"

Med mer massmedial uppmärksamhet riktad mot heartbleed-buggen, får vi fler frågor från "vanliga användare" om denna.

Buggen "Heartbleed" påverkar inte slutanvändare som använder Windows. Det påverkar inte vanliga Windows-webbläsare (Internet Explorer, Firefox, Chrome). Den kan påverka vissa tredjeparts-program, men troligen behöver du inte åtgärda något program. Den enda allmänt använda konsumentplattform som är sårbar är Android 4.1.1 men det finns inte mycket du kan göra åt det annat än att vänta på en ny programvara för din telefon.

Det är dock möjligt att en webbplats som du använt är påverkad eller har påverkats av "Heartbleed". Resultatet kan bli att den standardpraxis för "säker datoranvändning" du använder: som svårgissade lösenord, hålla systemet uppdaterat, använda anti-malware, vara försiktig med länkar som distribueras via e-post inte hjälper. Det lösenord som du använder för webbplatsen kan snappats upp av någon angriper denna webbplats. Du kan därför behöva ändra det lösenord som du använder för webbplatsen.

Hur tar jag reda på om en sajt är eller har varit sårbar för ”Heartbleed”?

Lämpligast är https://lastpass.com/heartbleed/. De kommer att visa dig om en webbplats är sårbar just nu, eller kan ha varit utsatt tidigare. Det finns en risk att webbplatsen fått ett nytt certifikat som fortfarande använder ett gammalt utgivningsdatum, vilket kan leda till att webbplatser identifieras som "Not Fixed".

Borde jag byta mitt lösenord?

Om du tror att platsen var sårbar, och inte längre är sårbar, så ska du ändra ditt lösenord. Om du är osäker, ändra ditt lösenord. Om du ändrar ditt lösenord när platsen är fortfarande sårbar så skadar det förmodligen inte, men det nya lösenordet kan läcka igen vilket gör förändringen overksam.

Ska jag undvika platser som fortfarande är sårbara?

Ja!

Jag fick e-post från en webbplats som jag använder och de ber mig att ändra mitt lösenord.
Ska jag göra det?

Först av allt: Klicka inte på några länkar i detta mail. Gå sedan till webbplatsen och ändra lösenord (även om e-posten var en bluff så skadar det inte att ändra lösenordet, bara du är säker på att du går till rätt plats). Använd "Lastpass"-länken ovan för att kontrollera om platsen är/var sårbar.

Vad ska jag mer göra?

Använd standardpraxis för "säker datoranvändning": använd lösenord som är svårta att gissa, håll datorn uppdaterad, använd anti-malware, vara försiktig med länkar som distribueras via e-post.

Och hur ska jag förklara problemet som orsakade allt det här?

XKCD har en underbar tecknad serie som förklarar det: http://imgs.xkcd.com/comics/heartbleed_explanation.png. Den korta sammanfattningen är: Om en SSL-anslutning är inaktiv finns heartbeat-meddelanden som används för att kontrollera om den andra sidan fortfarande lyssnar. Till exempel så skickar webbläsaren ett meddelande "om du fortfarande är vid liv, svara genom att skicka 4 bokstäver 'hund'", och servern svarar med "hund". För att använda buggen så skulle klienten skicka "svara med 500 bokstäver ’ko’". Eftersom "ko" bara är två bokstäver så kommer servern att fylla ut de saknade 498 bokstäverna med data från minnet. Dessa data kan innehålla andra saker servern arbetade med, som användarnas lösenord eller privata krypteringsnycklar.