Heartbleed，哪些特定服务必须重启？

Question

尝试确定在针对 Heartbleed修补 openssl后应该重新启动哪些服务。至少有一篇帖子提到重新启动：

sshd, apache, nginx, postfix, dovecot, courier, pure-ftpd, bind, mysql

• 是否有可以运行的命令来查看哪些正在运行的服务依赖于 openssl？
• 是否有针对 apache/nginx 运行的命令以查看补丁是否处于活动状态，因此不需要重新启动服务？
• 我们是否应该只安排停机时间并完全重新启动每台服务器？

编辑：这篇文章建议使用：lsof -n | grep ssl | grep DEL显示仍在使用标记为删除的旧版本 OpenSSL 的进程

Answer 1

作为缓解许多程序使用的库中的主要漏洞时的一般规则：重新启动服务器是确保已重新启动所有受影响程序的最简单方法，并且没有使用旧的（易受攻击的）代码。

你不应该害怕重启你的系统（不管怎样，当你安装补丁时你应该经常这样做！） - 定期重启你的服务器意味着你可以确信它们会毫无问题地重新启动，如果你设计的环境适合正确的错误容忍重启并不意味着中断。（就此而言，即使您的环境不具备容错能力，我们也可能会讨论 10 分钟 - 考虑到我们正在谈论的安全问题的规模，这只是一个小小的中断……）

如果由于某种原因您无法重新启动，您可以使用它lsof来确定正在运行哪些使用 OpenSSL 库的程序：sudo lsof -n | grep ssl

要查找使用 OLD（已删除）库的库，您可以执行sudo lsof -n | grep ssl | grep DEL.

每个受影响的程序都需要使用适合该程序的任何程序重新启动。