Уязвимостта позволява четене на паметта и компрометира криптирани данни на милиони сайтове
В началото на седмицата беше разкрита критична уязвимост в OpenSSL — технология, използвана от милиони сайтове за защита на данните. Уязвимостта, наречена Heartbleed, позволява на атакуващи да четат паметта на системи, защитени с уязвима версия на OpenSSL, компрометирайки тайни ключове, логин данни и съдържание.
Според Брус Шнайер, цитиран в блога си, уязвимостта е изключително сериозна: "по скалата от 1 до 10, уязвимостта е 11" и я определя като "катастрофална". Атаката не оставя следи и може да бъде извършвана многократно, като при всяко действие се прихващат до 64КБ памет.
Скоро след разкритието беше издадено обновление, което отстранява проблема, но фактът, че OpenSSL се използва от половината сайтове в интернет и уязвимостта е останала незабелязана от специалисти по сигурност и криптолози в продължение на две години, поражда сериозни притеснения.
Кой е отговорен?
Робърт Зегелман (Robin Seggelmann), автор на кода, признава пред Guardian: "Аз съм отговорен за грешката, защото аз съм човекът написал кода и пропуснах необходимата валидация, поради недоглеждане (било е 31-ви декември - б.а.). За съжаление тази грешка е минала през стандартната проверка по-късно и е била въведена в официалната версия".
Според Би Би Си има доказателства, че е започнало сканиране за уязвимостта в мрежата, но не е ясно дали сканиращите са специалисти по сигурност или престъпници. Шон Галахър от Ars Technica първоначално твърди, че месеци преди разкритието множество сайтове са били обект на сканиране, което предполага, че уязвимостта вече е експлоатирана, но впоследствие променя заключението си.
Засегнато е и мрежово оборудване
Уязвимостта не засяга само уебсайтове, но и мрежово оборудване. Computing Magazine съобщава, че тя засяга продукти на Cisco и Juniper. Роб Уоу от ESET коментира: "Фактът, че уязвимостта е открита в мрежово оборудване, в това число и хардуерни защитни стени може да означава, че ситуацията е даже по-сериозна от очакваното". Представител на Juniper пред Wall Street Journal заявява: "Това не звучи, като нещо, което можеш да оправиш с едно движение. Не знам колко бързо ще може да се разреши проблема".
Сред спекулациите в интернет се появиха съвети за незабавна смяна на всички пароли, а Робърт Макмилан от Wired нарече ситуацията "катастрофална" и призова за "рестартиране на интернет".
От OpenSSL реагираха с издаването на бюлетин по сигурността в началото на седмицата, в който съветват засегнатите да обновят до версия OpenSSL 1.0.1g.