द्रुपाल up में दिल से

निश्चित रूप से सभी जानते हैं कि 8 अप्रैल 2014 को, ओपनएसएसएल परियोजना के कर्मचारियों ने एक सुरक्षा बुलेटिन जारी किया था जो लोकप्रिय क्रिप्टोग्राफिक लाइब्रेरी ओपनएसएसएल में महत्वपूर्ण भेद्यता सीवीई-2014-0160 पर रिपोर्ट करता है।
इस भेद्यता के बारे में अधिक जानकारी पहले से ही हब पर लिखी गई थी, और यहां हम अपनी Drupal साइट को सुरक्षित करने के तरीके के बारे में देखेंगे।

आप देख सकते हैं कि आपकी साइट इस सेवा का उपयोग करने के लिए असुरक्षित है - http://filippo.io/Heartbleed/ (या स्वाद के लिए - http://possible.lv/tools/hb/ या http://www.ssllabs.com/ ssltest / ) है।
क्योंकि चूँकि SSL की भेद्यता की चिंता के कारण, केवल HTTPS होस्ट को जाँचने की आवश्यकता है।

यदि आप भाग्यशाली नहीं हैं और एक भेद्यता है, तो सबसे पहले आपको ओपनएसएसएल लाइब्रेरी को अपडेट करने की आवश्यकता है, या किराए की मेजबानी के मामले में समर्थन से संपर्क करें।

अगला, हम उन बिंदुओं पर विचार करते हैं जो मैं पिछले परीक्षण की परवाह किए बिना सभी को सुझाऊंगा, क्योंकि जब तक आपने जांच की थी, तब तक भेद्यता पहले ही बंद हो सकती थी, और यह पता लगाना असंभव था कि क्या इसका शोषण किया गया था।

SSL प्रमाणपत्र बदलें

आपको नई निजी कुंजी के आधार पर एसएसएल प्रमाणपत्रों को बदलना होगा और पुराने प्रमाणपत्रों को रद्द करना होगा।
ये आइटम काफी विशिष्ट हैं। और यह इस बात पर निर्भर करता है कि आपने प्रमाणपत्र कहां से खरीदा है।

निजी चर मान बदलें

• Drupal_pStreet_key अपडेट
  हुक_अपडेट () का उपयोग करना
  

  function your_module_update_X() { variable_set('drupal_private_key', drupal_random_key()); } 

  
  या तो ड्रश-टीम
  

   drush eval “variable_set('drupal_private_key', drupal_random_key());” 

  
  
• Drupal_hash_salt अपडेट
  हुक_अपडेट () का उपयोग करना
  

   function your_module_update_X() { variable_set('drupal_hash_salt', drupal_hash_base64(drupal_random_bytes(55))); } 

  
  या तो ड्रश-टीम
  

   drush eval “variable_set('drupal_hash_salt', drupal_hash_base64(drupal_random_bytes(55)));” 

SSO प्रमाणीकरण निजी कुंजी को बदलें

यदि आप एसएसओ प्रमाणीकरण का उपयोग करते हैं, तो आपको अपनी निजी कुंजी को बदलने की आवश्यकता है। उदाहरण के लिए, बेकरी मॉड्यूल के मामले में, कुंजी को मॉड्यूल सेटिंग पेज पर बदला जा सकता है।

सक्रिय सत्र हटाएं

ऐसा करने के तीन तरीके हैं:

• सत्र समाप्ति समय मॉड्यूल
• DB टर्मिनल या phpmyadmin में sql क्वेरी:
  

   TRUNCATE TABLE sessions 

• ड्रश कमांड:
  

   drush sqlq 'TRUNCATE TABLE sessions' 

कृपया ध्यान दें कि साइट के सभी उपयोगकर्ता अनधिकृत होंगे।

विस्तृत पहुँच अधिकार वाले उपयोगकर्ताओं के लिए पासवर्ड रीसेट करें (और अधिमानतः सभी उपयोगकर्ताओं के लिए)

यहाँ आप निम्नलिखित की सलाह दे सकते हैं:

• उपयोगकर्ताओं को पासवर्ड बदलने की आवश्यकता के बारे में सूचित करें, और उनकी जागरूकता के लिए आशा करें
• मेल द्वारा संबंधित अधिसूचना के साथ, उपयोगकर्ताओं के लिए जबरन पासवर्ड बदलें। मास पासवर्ड रीसेट मॉड्यूल मदद कर सकता है ।
• यदि पिछले विकल्प, आपकी राय में, उपयोगकर्ताओं के लिए बहुत डरावना है, तो आप पासवर्ड नीति मॉड्यूल का उपयोग कर सकते हैं। इसके साथ, आप सभी पासवर्ड "समय सीमा समाप्त" कर सकते हैं, जिसका अर्थ है कि अगली बार जब आप अधिकृत करते हैं, तो पासवर्ड को बदलना होगा। सामान्य तौर पर, मैं हमेशा इस मॉड्यूल का उपयोग करने की सलाह देता हूं। यह साइट की सुरक्षा में सुधार के लिए एक्वा द्वारा अनुशंसित मॉड्यूल की सूची में शामिल है।

वह सब मालूम होता है।