Највећа претња са којом се интернет икада суочио

// Категорије: ИТ | Магазин | Вести |

Наслов није претеривање - критични крипто баг у OpenSSL-у је отворио две трећине Веба прислушкивању. Коришћење овог пропуста омогућује нападачима да дођу до приватних кључева за декрипцију осетљивих података. Многи ће помислити да је "катастрофа" претерана реч за дефект који је погодио приближно две трећине Веб сервера али нека имају ово на уму: у тренутку писања овог текста, баг назван "Heartbleed" је изложио корисничке шифре, садржаје мејлова и друге осетљиве податке Yahoo Mail сервиса, а врло вероватно и бројних других сервиса.

Наиме, истраживачи су открили јако опасну грешку у криптографској софтверској библиотеци коју око 66% Веб сервера користи за идентификацију себе крајњим корисницима и за превенцију прислушкивања саобраћаја и откривања шифри, банкарских података и других осетљивих података.

Оно што је посебно забрињавајуће је што је овај баг био присутан (и непримећен) у верзијама у протекле две године. Ово значи да је у том периоду било могуће доћи до приватних кључева за енкрипцију на дигиталним сертификатима који се користе за идентификацију сервера и енкрипцију података који путују између сервера и крајњег корисника. Напади не остављају трагове у серверским логовима, тако да нема начина да се сазна да ли је овај баг коришћен или где. Ипак, ризик је незамислив: сви осетљиви подаци попут шифри, кључева, банкарских података и сличног могли су бити коришћени, и још увек могу бити злоупотребљени.

Реакција је била брза - за мање од 24 часа од открића овога, изашла је званична закрпа пакета која решава ово. Међутим, овиме нису сви проблеми решени. Највећи је проблем могућност да је овај пропуст коришћен и да нападачи већ поседују осетљиве податке. Ово значи да чак и након заштите системи остају изложени - јер нападачи могу имати кључеве сертификата, корисничке шифре и друго. Потпун опоравак би захтевао генерисање нових сертификата и промене свих ових података - што је огроман посао.

Шта ви можете да учините

Ово је заправо најважније питање. Најпре је потребно да схватите размере потенцијалне штете - ваши подаци су били изложени, и вероватно их неко поседује. Пошто је изложеност била на страни сервера, били су изложени сви сајтови на серверима који су користили OpenSSL - међу њима су и Фејсбук, Гугл, Yahoo. Скраћену листу великих компанија које су биле изложене, или нису, можете видети овде.

Прво што треба да радите је да проверите који су сајтови компромитовани (линк изнад). за дугу листу погледајте овде. Ако вам је ово напорно, чак је направљена апликација која проверава рањивост сајта. Уколико је сајт на ком имате неки налог на овој листи, промените своју шифру. Ово се посебно односи на сајтове за email, банкарске системе и социјалне мреже. Обратите пажњу и на то да ли је компанија применила закрпу за OpenSSL. Ако није, онда нема сврхе мењати шифру. Оно што је засад сигурно је да су Гугл, Твитер, Фејсбук и Yahoo применили закрпе, мада није сигурно да ли су сви били нападнути. Неки сајтови то нису учинили, јер сматрају се рањивим - AOL, Foursquare и Akamai.

Друго: овај корак захтева мало пажње. Потребно је да у следећем периоду пратите своје налоге - да ли долази до неких неочекиваних проблема.

Остало није на вама: потребно је да сајтови крену у акцију добијања нових дигиталних сертификата. Ово је велик и мукотрпан посао, али је неопходно извршити га како би се спречила даља штета. Дакле, чак и након закрпе, опасност је и даље огромна.

У следећем тексту ћемо ући мало више у техничке детаље и објаснити шта се заправо десило - са техничке стране.

Извор.  theverge.com, mashable.com


 

Тренутно нема коментара. Будите први који ће поставити коментар!
6
0

Постави коментар

E-mail:
Коментар:
Антиспам:

4 + 7

Коментари пролазе модерацију, зато што смо тако у могућности