Запушиха нови уязвимости в OpenSSL

	Запушиха нови уязвимости в OpenSSL
	Вчера бяха издадени девет обновления, засягащи сигурността на OpenSSL, критично важният крипто механизъм, който спомага комуникацията ни в Мрежата да е защитена. Макар и никое от тези обновления да не засяга толкова критично важна уязвимост, каквато бе запушената през април тази година Heartbleed, то те третират няколко опасни дупки в крипто протокола, които заслужават внимание. Въпросните "дупки" в сигурността на OpenSSL са били докладвани на хората, които се грижат за поддръжката на сигурността на протокола от страна на Google, Codenomicon, LogMeIn и NCC Group през последните два месеца, става ясно от издаден тази седмица специален бюлетин.Въпросните уязвимости, към които са насочени настоящите фиксове, биха могли да бъдат задействани чрез организираните на DDoS-атаки, което да причини спиране на функционирането на OpenSSL, заемането на голямо количество памет или изтичането на данни.Криптопротоколът е обект на специално внимание от специалисти по информационна защита, след като през април Codenomicon разкри наличието на Heartbleed, уязвимост засягаща сървърната страна, чието експлоатиране може да причини изтичане на части от паметта, което може да доведе до разкриването на лична информация и получаването на секретните SSL/TLS (Secure Sockets Layer/Transport Layer Security) ключове, които криптират трафика от клиента към сървъра, като освен това този тип атаки са невъзможни за засичане.Въпросната критична уязвимост подейства, като червена лампа на специалистите по компютърна и интернет сигурност по целия свят и накара много от тях да призоват за по-строги мерки при ревизията на кода и оказване на помощ на специалистите, които се грижат за опазване защитата на проекти с открит код (за OpenSSL се оказа, че са се грижили едва двама разработчици, и то на доброволни начала). Разкриването на Heartbleed даде и началото на инициативи, които да се подпомогне OpenSSL допълнително, така че да не остане възможност за появата на нов Heartbleed - оказа се, че уязвимостта е била открила в продължение на повече от две години, и никой не я е забелязъл.

	Коментари
	Все още няма коментари