Április 7-én, hétfőn egy „Heartbleed” néven ismert sebezhetőséget találtak a népszerű OpenSSL kriptográfiai könyvtárban, amelyet széles körben használnak alkalmazásokhoz és webszerverekhez. Az internet webhelyei és szolgáltatásai ezért el vannak foglalva a biztonsági rés bejavításával és az SSL-tanúsítványok frissítésével ügyfeleik védelme érdekében. Mint már említettük, az OpenSSL v1.0.1–1.0.1f (beleértve) sebezhető, és a 2014. április 7-én kiadott OpenSSL 1.0.1g javítja ezt a hibát.
A Heartbleed.com kivonata azt mondja,
A Heartbleed Bug komoly biztonsági rést jelent a népszerű OpenSSL kriptográfiai szoftverkönyvtárban. Ez a gyengeség lehetővé teszi a normál körülmények között az internet védelmére használt SSL/TLS titkosítással védett információk ellopását. Az SSL/TLS kommunikációs biztonságot és adatvédelmet biztosít az interneten keresztül olyan alkalmazások számára, mint a web, e-mail, azonnali üzenetküldés (IM) és egyes virtuális magánhálózatok (VPN).
A Heartbleed hiba lehetővé teszi, hogy az interneten bárki olvassa az OpenSSL szoftver sebezhető verziói által védett rendszerek memóriáját. Ez lehetővé teszi a támadók számára, hogy lehallgatják a kommunikációt, adatokat lopjanak el közvetlenül a szolgáltatásoktól és a felhasználóktól, valamint kiadják magukat a szolgáltatásoknak és felhasználóknak.
Ellenőrizze, hogy webhelyét vagy Android-telefonját nem érinti-e a Heartbleed programhiba –
Vannak olyan szolgáltatások, amelyek meg tudják mondani, hogy az Ön adataival megbízott webhely sebezhető volt-e vagy továbbra is sebezhető-e, és mikor frissítették a tanúsítványát.
Filippo Valsorda Heartbleed tesztje – filippo.io/Heartbleed
Adjon meg egy URL-t vagy egy gazdagépnevet a kiszolgáló Heartbleed teszteléséhez (CVE-2014-0160). Ilyen portot is megadhat example.com:4433. 443 alapértelmezés szerint.
LastPass Heartbleed-ellenőrző – lastpass.com/heartbleed
Nézze meg, hogy egy webhely sebezhető-e a Heartbleeddel. Megmutatja a webhely szerverszoftverét, megmondja, hogy sebezhető volt-e, és hogy az SSL-tanúsítvány biztonságos-e, és mikor készült utoljára.
Chromebleed (Google Chrome bővítmény)
Figyelmeztetést jelenít meg, ha a böngészett webhelyet érinti a Heartbleed programhiba. A Filippo szolgáltatásával ellenőrzi az oldal URL-jét. Hasznos, ha nem szeretné manuálisan ellenőrizni a webhelyeket.
A Mashable összeállított egy érdekes listát a jól ismert webhelyekről, amelyekben feltüntetik jelenlegi állapotukat, hogy érintettek-e, és hogy meg kell-e változtatnia jelszavát.
Heartbleed Detector Androidra –
Az Android felhasználók könnyen ellenőrizhetik, hogy Android-eszközük sebezhető-e a HeartBleed hibával szemben a Lookout Mobile Security „Heartbleed Detector” nevű ingyenes alkalmazásával. Az alkalmazás meghatározza, hogy az OpenSSL melyik verzióját használja az eszköz. Ha az eszközön az OpenSSL valamelyik érintett verziója fut, akkor ellenőrzi, hogy az adott sebezhető viselkedés engedélyezve van-e vagy sem.
Ha azonban az eszköze sebezhető, nincs teendője, hacsak a Google vagy az eszköz gyártója nem bocsát ki javítást.
Címkék: AndroidSecurity