После ошибки Heartbleed нам нужно обновить наши библиотеки OpenSSL?

Question

Наше программное обеспечение, которое мы разрабатываем, использует пакет интернет-компонентов Indy в Delphi. Инди имеет возможности для OpenSSL. После инцидента с Heartbleed нам интересно, нужно ли нам действовать.

Мы распространяем 2 библиотеки DLL с нашим программным обеспечением для OpenSSL (которое использует Indy): ssleay32.dll и libeay32.dll .

Вопрос: Нужно ли нам получать и распространять обновленные / исправленные версии этих DLL? Или это будет исправлено с помощью обновлений Windows?

Это использует Indy версии 10, а библиотеки DLL не имеют никакой информации о версии, просто показывает 1.0.0.0 и дату от 20.09.2010.

По сути, это проблема на уровне программного обеспечения или операционной системы?

Answer 1

Самая большая проблема с "ошибкой Heartbleed" будет на стороне сервера (веб-сайты). Хотя на клиентов это тоже влияет, гораздо менее вероятно, что кто-то злоупотребит этим.

Вы можете использовать оригинальный дистрибутив SSL Indy по адресу http://indy.fulgan.com/SSL/. Здесь вы можете найти "openssl-1.0.1g", который является последней и исправленной библиотекой. Он должен быть полностью совместим с Indy. Вы можете просто заменить файлы и забыть об этой проблеме.