Derzeit ist der Heartbleed-Bug ja in aller Munde. Es geht darum, dass eine OpenSSL-Sitzung ihren Key preisgeben könnte. Damit wären rückwärtig alle mitgeschnittenen Datenpakete abhörbar. Heise bezeichnet ihn sogar als SSL-GAU.

Der Raspberry Pi ist ein sehr beliebter Mini-Server. Auch auf diesem laufen viele Dienste, die OpenSSL nutzen (u.a. für https) und daher vom Herzbluten (engl.: Heartbleed) betroffen sein könnten. Das Aktualisieren geht zum Glück ganz einfach – wie auch unter Debian.

Sicherheitslücke beheben

Updates installieren

Im Endeffekt müsst ihr nur das Repository aktualisieren und dann alle Updates einspielen, wie man es auf jedem üblichen Debian-System auch macht:

Alternativ kann man auch Aptitutde verwenden, welches sich in einigen Stellen besser benutzen lässt (etwa zur Suche von Paketen). Das ist hier aber nicht relevant. Mit apt-get funktioniert es ganz genau so.

Wichtig ist lediglich, dass beim Update openssl und libssl vorgeschlagen wird, wie im folgenden Beispiel:

Serversoftware neustarten

Damit die neue Library angezogen wird, müssen die Serverdienste nun neugestartet werden. Das funktioniert so wie im folgenden beschrieben.

Apache httpd neustarten

Ihr loggt euch ein und setzt folgenden Befehl ein:

NGinx neustarten

Das Neustarten des NGinx-Webservers geht auf dem Raspbery Pi sehr flott und dauert nur Sekunden. Viel zu tippen hat man auch nicht:

Die Befehle aus dem Bildschirmfoto lauten:

Oder den ganzen Server neustarten

Das geht auch mit einem Befehl:

System auf Heartbleed-Bug testen

Online auf Heartbleed-Verwundbarkeit testen

Das geht ganz einfach auf der folgenden Seite: http://filippo.io/Heartbleed/

Das Ergebnis sieht idealerweise so aus:

Im lokalen Netz auf OpenSSL-Heartbleed-Bug testen

Den Sourcecode des Tests findet ihr hier:

https://github.com/FiloSottile/Heartbleed