Heartbleed

Simbol ranljivosti, ki ga je ustvarilo podjetje Codenomicon za povečanje osveščenosti

Heartbleed (dobesedno angleško: srčno krvavenje) je huda varnostna ranljivost spletnih strežnikov, ki so jo odkrili v začetku aprila 2014. Uradni sklic zanjo je CVE-2014-0160. CVE (skupne ranljivosti in izpostavljenosti) je standard za imena ranljivosti varnosti informacij. Ta hrošč je unikaten, saj je za razliko od drugih, katerih učinke se da odpraviti z novimi verzijami, pustil veliko zasebnih ključev in drugih tajnosti izpostavljenih internetu.

Način delovanja

Heartbleed bug je hrošč, preko katerega lahko napadalci pridobijo dostop do gesel uporabnikov in pretentajo ljudi v uporabo lažnih različic spletnih strani. Problem je v odprtokodni programski opremi, imenovani OpenSSL, ki je pogosto uporabljena za šifriranje sporočil spletne komunikacije. Ta ranljivost varnosti zahteva velike spremembe na internetnih straneh, poleg tega pa je tudi za uporabnike takih strani priporočena sprememba gesla, saj so jim to lahko prestregli. Ta hrošč ogroža tajne ključe, ki se uporabljajo za identifikacijo ponudnikov storitev in za šifriranje prometa, imen in gesel uporabnikov, in dejansko vsebino. To omogoča hekerjem prisluškovati komunikaciji, krasti podatke neposredno od storitev in uporabnikov ter oponašati storitve in uporabnike. Heartbleed je masiven. Za boljšo varnost je treba preveriti svoj OpenSSL; to je izvedba tehnologije šifriranja, različno imenovana SSL (Secure Sockets Layer) ali TLS (Transport Layer Security), ki skrbi, da komunikacija med spletnim strežnikom in spletnim brskalnikom poteka brez nepotrebnih opazovalcev, prav tako pa je uporabljena tudi v drugih spletnih storitvah, kot so elektronska pošta in hitra sporočila.

Storilci in žrtve

Ranljivi so vsi uporabniki interneta, saj hrošč izpostavi njihova gesla in druge pomembne podatke. Z izkoriščanjem hrošča je možno postrgati spomin strežnika, kjer so shranjeni občutljivi podatki o uporabniku, vključno z zasebnimi podatki, kot so uporabniška imena, gesla in številke kreditnih kartic. Po podatkih raziskovalnega podjetja Netcraft (angleško podjetje za internetne storitv) vpliva na približno pol milijona spletišč.

Zaščita

1. Priporočljivo je, da se v račun, ki je bil prizadet s hroščem, ne prijavlja, dokler ni stoodstotno zagotovljeno, da je podjetje razrešilo problem. Če družba ni potrdila napredka, se je boljše posvetovati z ekipo, ki skrbi za storitve za stranke. Nekatere strani so okužene s tem virusom, čeprav trdijo, da so v celoti ali delno popravljene.
2. Gesla ni priporočljivo spreminjati takoj, varneje je počakati na potrditev, da je težava odpravljena, saj lahko dodatna dejavnost na ranljivem mestu poslabša težavo. Enkrat, ko obstaja potrditev o varnostnem obližu, je najprej potrebna sprememba gesel občutljivih računov, kot so bančni račun in email.
3. Prepričati se je treba tudi o varnosti majhnih podjetij, ki imajo vaše podatke.
4. Treba je budno spremljati bančne izpiske, saj lahko napadalci preko spomina strežnika dostopajo do podatkov o bančnih računih in jih uporabijo kasneje.

Tudi ob upoštevanju vseh napotkov ostaja nekaj tveganja v brskanju po internetu, ko je hrošč prisoten. Heartbleed bi naj vplival celo na piškotke brskalnikov, ki sledijo aktivnosti uporabnikov na strani, torej je lahko nevaren tudi obisk ranljivega mesta, brez da se sploh vpišemo.

Zunanje povezave

• Everything you need to know about the Heartbleed SSL bug
• Heartbleed test
• Heartbleed bug: What you need to know (FAQ)
• Heartbleed bug: What you need to know