質問: opensslのheartbleedによる脆弱性は opensslサーバからopensslクライアントに対して 攻撃が行えるだけで opensslサーバ及びopensslクライアント以外の第3者から opensslサーバまたはopensslクライアントに対して 攻撃が行えるということではない 従って opensslサーバとopensslクライアントに信頼関係があれば opensslのheartbleedによる脆弱性については問題ない と考えていいのでしょうか?
回答: opensslは暗号化ライブラリソフトなので「opensslサーバ」「opensslクライアント」と言うモノは存在しません。 opensslを利用して通信の暗号化(主にhttps通信)を行っているサーバに対して不適切なハートビート要求を送ることで暗号鍵等を盗みだせるという問題がheartbleedです。 該当機能を使用している場合は、opensslを問題の無いバージョンに更新し、サーバ内でopensslを利用しているサーバソフトの再コンパイルを行うなどしないと脆弱性の問題は残ります。