OpenSSL, Heartbleed und alles was dazu gehört

Auch wenn die Fragen hierzu bisher nicht so oft kamen, wie ich mir das erhofft hätte, mag ich mal ein wenig erzählen, wie wir in den letzten 2,5 Tagen den Heartbleed-Bug von OpenSSL erlebt haben:

Als am 7.4. gegen 19:30 das OpenSSL-Update kam, klang alles noch recht harmlos. Erst das Security Advisory eine Stunde später verdeutlichte dass da etwas im Argen lag. Wir haben dementsprechend gleich für den nächsten Morgen ein Dringlichkeits-Update angesetzt. Ich war auch versucht, das ganze noch am selben Abend durchzuziehen, aber irgendwie war mir das zu heikel, OpenSSL ist immerhin ein zentraler Bestandteil der Webserver-Software.

Am nächsten Morgen gab es dann recht schnell ein Software-Updates, einen Test im "Trockendock" und dann das Rollout auf sämtliche Server, die OpenSSL 1.0.1 nutzen - das ist mittlerweile der Großteil aller Server. Irgendwie war mir Angst und Bange, aber es ging alles gut. Und auch alle folgenden Tests waren erfolgreich.

In der Zwischenzeit haben wir mit unserem Partner für SSL-Zertifikate geklärt, wie wir am einfachsten die diversen über uns verkauften bzw. auch bei uns eingesetzten SSL-Zertifikate möglichst einfach tauschen und die alten Zertifikate widerrufen können. Die Situation ist insofern neu für uns, als das vielleicht schon mal ein private Schlüssel abhanden gekommen ist (nicht bei uns) und ein einzelnes Zertifikat getauscht werden musste. So viele potentielle Tauschvorgänge auf einmal ist hingegen komplett neu für uns.

Ich habe heute dann alle Kunden, die ein SSL-Zertifikat über uns eingekauft haben, wie auch alle Kunden, die SSL-Zertifikate bei uns hochgeladen haben (um sie auf dem Webserver zu nutzen), per Mailing informiert. Zum einen ist es wichtig zu wissen, dass auch wir Webserver im Einsatz hatten, die für diesen Fehler anfällig waren, und die Bedrohung nun erst einmal vorüber ist.
Für alle die hierfür auch noch Geld in die Hand genommen haben, war es vielleicht auch besonders wichtig, dass wir jedes bei uns gekaufte Zertifikat kostenlos umtauschen.

Damit ist die Aufarbeitung des Heartbleed-Problems bei uns eigentlich abgeschlossen. Abgesehen von den etlichen Zertifikaten, die es nun gilt auszutauschen. Das wird aber weit weniger Stressig als alles was wir bisher in dieser Sache zu tun hatten