Wikimedia Blog/Draf/Hati berdarah

This page is a translated version of the page Wikimedia Blog/Drafts/Heartbleed and the translation is 82% complete.
Outdated translations are marked like this.

This post has been published at https://blog.wikimedia.org/2014/04/10/wikimedias-response-to-the-heartbleed-security-vulnerability/. You are welcome to add translations here.

Reaksi wikimedia kepada lemah keselamatan internet yang "Hati berdarah"

 
Logo for the Heartbleed bug

Pada 7 April, suatu isu luas bangkit bagi keselamatan Internet (OpenSSL) telah diketahui orang. Isu kelemahan ini semakin dibetulkan oleh semua Wikimedia wikis. Jika anda hanya membaca wikipedia tanpa akaun, tidak ada apa yang perlu daripada anda. Jika anda mempunyai akaun pengguna dalam Wikimedia wiki, anda perlu re-login lain kali apabila mengguna akaun anda.

Isu ini dipanggil Heartbleed, membolehkan penyerang internet mendapat akses ke informasi keutamaan dari program komputer yang berversi kurang kekuatan. Pengguna iaitu Wikis, yang ditaja oleh Wikimedia Foundation telah didapati berpotensi untuk dipengaruhi oleh kekurangan tersebut setelah ianya diketahui dalam beberapa jam lalu. Walaupun demikian, pihak kami masih tidak dapat apa bukti dari sistem kami ataupun pengguna kami, dan oleh sebab cara kami memperadukkan server pihak kami, ini telah menyusahkan penyerang-penyerang untuk mendapat seberang kata laluan pengguna wiki.

Setelah tersedar dengan isu tersebut, kami mulai menaik taraf sistem dengan versi program yang dibaiki dalam situasi tertanyaan. Kami bermula dengan pertukaran sijil SSL utama (tingkat pengguna) dan pertukaran semua sessi token. Lihat semua tali masa daripada tindakbalas kami seperti di bawah.

Semua daftar masuk pengguna mengirimkan sessi parameter rahsia yang dikehendaki oleh website tersebut. Jika penjahat dapat menghentikan sessi token itu, ia juga dapat menirukan diri sebagai pengguna lain. Pertukaran sessi token untuk semua pengguna mempunyai kebaikan bagi menghubungkan pengguna dengan memakai versi OpenSSL program yang telah naik taraf dan diperbaiki, tambahan menolakan potensi diserang.

Kami mencadangkan pertukaran kata laluan anda sebagai pencegahan ini, tetapi bukan sekaranglah yang melaksanakan pertukaran kata laluan untuk semua pengguna. Tambahan jua pihak kami tidak mempunyai bukti pengguna Wikimedia Foundation menjadi matlamat diserang, tetapi kami ingin para pengguna kami dalam situasi yang selamat.

Ribuan terima kasih.

Greg Grossmeier, wakil WMF Operation and Platform teams

Tali masa untuk Wikimedia reaksi

(Masa dalam UTC)

7, April

8, April

9, April

10, April

Soalan yang sering ditanya

(Sessi ini akan dipanjangkan masa seperti yang dikehendaki.)

  • Mengapakah " tidak sah sebelum" tarikh di SSL sijil anda bertukar kalau anda sudah menukarkannya?
    Sijil SSL pemberi kami tidak menukar tarikh asal "tidak sah sebelum" (kadang salah merupakan "tarikh keluar") di dalam sijil yang tertukar. Ini bukan suatu keadaan luar biasa. Selain itu, pertukaran di .pem fail yang dihubungi dengan tali masa atas, cara lain membuat verifikasi atas gantian ialah perbandingan antara baru dengan yang dulu.