apache - 编译标志与配置选项 - TLS 心跳

Question

如果您错过了 - TLS Heartbeat Extension 实现中的 OpenSSL 漏洞一直在流传。欲了解更多信息，请参阅http://heartbleed.com/ .

可能的缓解步骤之一是使用 -DOPENSSL_NO_HEARTBEATS 选项重新编译 OpenSSL 以禁用易受攻击的扩展。

为什么系统管理员必须重新编译库才能禁用扩展？为什么没有配置选项？会使短期补救变得更加容易。

我的最佳猜测是，这是一个高性能库，并且作为一个库，其本质上没有像服务那样​​的配置文件。搜索 Apache mod_ssl和 Nginx HttpSslModule文档 我没有看到任何可以让我通过配置禁用心跳功能的内容。这不应该是一个选择吗？

-编辑-

需要澄清的是，每个受影响的人都需要撤销并替换受影响的 SSL 证书。这里的主要问题是该漏洞允许任何人从易受攻击的服务器提取 64 KB 的应用程序内存。这个问题可以通过配置选项轻松解决。必须撤销和替换 SSL 证书是此漏洞的次要后果，此外还涉及哪些类型的数据(用户名、密码、 session 信息...)可能从应用程序内存中泄漏。

-编辑2-

澄清一下 - 我所说的配置并不是指编译 OpenSSL 时的配置。我的意思是网络服务器中的配置。例如，使用 apache mod_ssl，我可以配置一系列影响 SSL 的选项，例如 Cipher Suites available .

Answer 1

我不知道程序员做出这个决定时的心态，但是是的 - 库不会在一个或两个明确定义的场景中使用，它会被使用，但是有人编码了main() 来调用它

如果您确实想禁用某个选项，那么在我看来，将其编译出来是最好、最安全的途径。