xkcd : Heartbleed Explanation

@stephane n’aime pas copier les URL d’images, c’est pourtant un geste hautement satisfaisant :

http://imgs.xkcd.com/comics/heartbleed_explanation.png

synthèse radiophonique #shameless_autopromo : ▻http://www.fluxetfixe.org/Heartbleed

L’Express est bien aussi : ▻http://lexpansion.lexpress.fr/high-tech/que-faire-face-a-heartbleed-la-mega-faille-de-securite-sur-inter

et ►https://xkcd.com/1354 (pour bien comprendre...)

@denisb Ouais, mais pas en français

Other test tool online: ▻http://possible.lv/tools/hb

And a command-line tool, to run locally (warning: only HTTPS and SMTP currently) ▻https://gist.github.com/takeshixx/10107280

import socks
...
socks.setdefaultproxy(socks.PROXY_TYPE_HTTP, "proxy.server", 8080, True)
socket.socket = socks.socksocket

And to see if you are attacked/probed ▻http://seenthis.net/messages/245316

Another command-line tool, in Go ▻https://github.com/titanous/heartbleeder

#HeartBleed

The excellent online site ▻https://www.ssllabs.com now also tests the HeartBleed vulnerability.

« A- » car on n’a pas la forward-secrecy

@Fil SeenThis en HTTPS a bien d’autres problèmes : The certificate is not trusted because it is self-signed. The certificate is not valid for any server names. The certificate expired on 01/12/12 16:37. The current time is 04/09/14 10:01.

Test your server with nmap : ▻https://svn.nmap.org/nmap/scripts/ssl-heartbleed.nse

pardon, je ne parlais pas de seenthis — de fait, personne ne s’occupe du https de seenthis [volontaires bienvenus]

A- pareil , ouf :) pec si pas trop de jardinage - seenthis ssl

A collection of tools : ▻http://hack-tools.blackploit.com/2014/04/collection-of-heartbleed-tools-openssl.html

Et la démonstration pratique : récupération de la clé privée SSL d’Nginx...
▻https://www.youtube.com/watch?v=BdQTnysDnjA