security

這幾天 OpenSSL 發出很嚴重的 CVE-2014-0160 Bug 叫做「Heartbleed」，台灣資安公司 DEVCORE 也直接發布了一篇文章，請大家儘快升級系統，並且通知全部會員修改密碼，目前看到 Github 等大型網站都已經先將使用者 Session 資料清除，另外個人憑證部份也必須要更換，所以這幾天免費提供申請的 StartSSL 服務，被大量的使用者來申請，目前看到官方網站直接關閉註冊給個暫時的 warning 訊息 XD 如下圖

在玩 FreeBSD 系統一定會常常需要升級 security 的 patch，之前寫過一篇手動升級 FreeBSD security patch：FreeBSD 的 security patch 跟 如何 upgrade，那篇寫的內容也很容易瞭解，那現在又有另一種升級方式，就是利用 FreeBSD 內建指令 freebsd-update，這是可以 fetch 或者是 install 和 rollback binary 升級系統，不過這指令只能用在 Release Engineering 的系統上面，例如 FreeBSD 7.1-RELEASE and FreeBSD 7.1-RC1，不可以使用在 FreeBSD 6.2-STABLE 或者是 FreeBSD 7.0-CURRENT 版本上面，那在 DK大神 blog 上面有寫一篇可以升級 PRERELEASE 系統：用 freebsd-update 將 FreeBSD 7.1-PRERELEASE 升級到 7.1-RELEASE，這方法可以騙過 freebsd-update 指令，不過我想本身要對 FreeBSD 很熟阿，不然會遇到很多地雷阿。 基本 OPTIONS 如下：

-b basedir   -- 指定系統掛載根目錄 預設值：/
                (default: /)
-d workdir   -- 檔案暫存的地方
                (default: /var/db/freebsd-update/)
-f conffile  -- 讀取基本設定檔
                (default: /etc/freebsd-update.conf)
-k KEY       -- Trust an RSA key with SHA256 hash of KEY
-r release   -- 指定 Release 版本 (e.g., 6.2-RELEASE)
-s server    -- 指定抓取哪一台伺服器
                (default: update.FreeBSD.org)
-t address   -- 搭配 corn 指定 email，當執行完畢，寄信通知使用者
                (default: root)

今天從嘉義跑到台南聽 酷！學園 舉辦的 2008八月份 SA@Tainan PHP 程式設計 – 初階資訊安全(8/30) ，今天一大早就起床了，差點沒趕上火車，到了台南地點在社區大學，其實蠻近的，大概騎車5分鐘就到了喔，其實不會很趕，到了現場，第一次看到梁楓大大阿，感覺很有威勢，我看現場年齡層分佈好像很廣，有很多都是長輩了，不過大部分還是學生為主，然後我想大概有很多是工作人員，其實我都不太認識，我大概只知道梁楓大大，因為在酷！學園也一段時間了，哈哈，今天講的主題，我非常的有興趣，我看投影片還蠻多的，可是都是跳著講，然後一些實做的部份，然後最後一小時是在解如何拿到 Linux 的主機 /etc/passwd 的資訊。

剛剛看到 chinsan’s Blog 裡面提到 關於 FreeBSD 的 security patch 是怎麼處理的?，這篇寫的非常不錯，所以順道把手上機器都全部處理了 upgrade 系統了，當然首先是要先習慣閱讀 /usr/src/UPDATING 跟 /usr/ports/UPDATING，當然這兩個其中一個是系統的安全性更新，一個是 ports tree 安全性更新。 裡面 chinsan 大大提到的 SA(Security Advisories)

http://www.freebsd.org/security/advisories.html 相關反應管道請參考 http://security.freebsd.org 這裡的 SA 其實也可以在 /usr/src/UPDATING 這裡面看到，但是網頁版似乎比較好，我提供解法，做起來也不會很困難。