CVE-2014-0224 nécessite une mise à jour d'openssl.
Le chiffre RC4 est utilisé avec les protocoles TLS 1.1 ou plus récents, même si des chiffres plus puissants sont disponibles. chiffrement plus puissant est disponible.
y
Le serveur ne prend pas en charge Forward Secrecy avec les navigateurs de référence.
sont de simples problèmes de configuration du serveur web.
Quelque chose comme ceci (en supposant un apache) :
SSLCertificateFile server.crt
SSLCertificateKeyFile server.key
SSLProtocol All -SSLv2 -SSLv3
SSLHonorCipherOrder On
SSLCompression off
# Add six earth month HSTS header for all users...
Header add Strict-Transport-Security "max-age=15768000"
# If you want to protect all subdomains, use the following header
# ALL subdomains HAVE TO support HTTPS if you use this!
# Strict-Transport-Security: max-age=15768000 ; includeSubDomains
SSLCipherSuite 'EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA384:EECDH+aRS
A+SHA256:EECDH:+CAMELLIA256:+AES256:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LO
W:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!ECDSA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA
128-SHA:AES128-SHA'
est recommandé par https://bettercrypto.org / Applied Crypto Hardening. L'utilisation de HTTP Strict Transport Security (hsts) doit être évaluée avec soin, car elle peut casser des choses et augmenter considérablement la charge du serveur. Du point de vue de la sécurité, elle est recommandée.
Votre certificat est probablement en bon état, mais s'il a été utilisé avec une version d'openssl exploitable par Heartbleed, vous devez le remplacer (il pourrait être compromis).
Cependant, la mise à jour d'openssl et la configuration du serveur web nécessiteront des privilèges de superutilisateur. Si vous utilisez un hébergement mutualisé, il n'y a rien que vous puissiez faire à part demander à la société d'hébergement de réparer le problème. Et ils n'en auront probablement rien à faire.
