Откритият от Масаши Кикучи проблем CVE-2014-0224 е по-малко опасен от Heartbleed, но засяга всички версии на OpenSSL клиентите
Нова уязвимост в криптографската библиотека OpenSSL, регистрирана като CVE-2014-0224, позволява на атакуващи да декриптират защитения трафик между клиент и сървър, като принуждават SSL клиента да използва слаби ключове. Уязвимостта е открита от японския софтуерен специалист Масаши Кикучи и е вторият голям проблем в протокола в рамките на два месеца, съобщава PCPro. За разлика от Heartbleed, който остана неоткрит две години, CVE-2014-0224 е присъствала в стандарта от самото му приемане.
Кой е засегнат и какви са рисковете
Според Джейн Макалиън от PCPro, макар уязвимостта да позволява декриптиране и дори промяна на интернет трафика, имейл комуникациите и VPN връзките, тя е далеч по-малко опасна от Heartbleed. Потребителите на не-OpenSSL клиенти като Internet Explorer, Firefox, Chrome за десктоп системи и iOS, Safari и др. не са засегнати. Въпреки това всички потребители на OpenSSL се съветват да обновят клиентите и сървърите си до по-нови версии. За клиентите това означава всички досегашни версии, а за сървърите – версии OpenSSL 1.0.1 и предишни, както и 1.0.2-beta1.
Реакцията на OpenSSL Project и обвиненията на Кикучи
OpenSSL Project издаде обновление за библиотеките на протокола, достъпно на страницата на проекта, което освен CVE-2014-0224 включва фиксове за още шест по-дребни проблема, засягащи сигурността. В своя блог Масаши Кикучи посочва, че вината за неоткриването на уязвимостта е на хората, отговорни за ревизирането на стандарта, които според него нямат достатъчно опит в налагането на TLS/SSL протокола. „Ако ревизиращите имаха достатъчно опит, те щяха да преглеждат OpenSSL-кода по същия начин, по който правят ревизия на своя собствен код“, пише Кикучи.