Poput munje se internetom šire informacije o bugu nazvanom Heartbleed, softverskoj mani koja omogućava napadačima da kradu kriptografske ključeve koji se koriste da bi osigurali online kupovinu i web konekcije. Ono što je bitnije, stotine i tisuće web i email servera imaju tu grešku, koja utječe na servere s paketom OpenSSL. Među njima su (bili) Imgur, OKCupid, Eventbrite, stranica FBI-a, ali i Yahoo.
Poput munje se internetom šire informacije o bugu nazvanom Heartbleed, softverskoj mani koja omogućava napadačima da kradu kriptografske ključeve koji se koriste da bi osigurali online kupovinu i web konekcije. Ono što je bitnije, stotine i tisuće web i email servera imaju tu grešku, koja utječe na servere s paketom OpenSSL. Među njima su (bili) Imgur, OKCupid, Eventbrite, stranica FBI-a, ali i Yahoo.
Kako pojašnjava The Guardian, napadi na “ranjive” već su u “divljini” jer je SSL česta tehnologija koja se koristi za zaštitu web stranica. Web serveri koji ju koriste šalju enkripcijski ključ posjetitelju, koji se koristi za štićenje svih informacija koje dolaze i odlaze sa servera. Ključna je to tehnologija za štićenje informacija, primjerice, pri online kupovini ili bankarenju, jer onemogućuje presretanje i otkrivanje povjerljivih informacija.
No, developer i kriptografski konzultant Filippo Valsorda objavio je alat koji omogućuje korisnicima da provjere svoje stranice, odnosno, utječe li na njih Heartbleed. Kako prenosi Cnet, alat je pokazao da su sve veće web stranice “nezaražene”, poput Googlea, Microsofta, Twittera, Facebooka i Dropboxa, ali u tom trenutku pokazivalo se da je Yahoo zaražen, što je sada otklonjeno. No, ako ste korisnik spomenute stranice i njenih usluga, preporuča se promjena lozinki. Zanimljiv popis stranica koje su jučer bile ranjive može se pronaći na Githubu.
Zašto “krvarenje”?
Ranjivost se službeno naziva CVE-2014-0160, ali je poznata pod imenom Heartbleed, kako ga je imenovala tvrtka koja se bavi sigurnošću Codenomicon, koja je zajedno s Neelom Mehtom, iz Googleovog sigurnosnog tima, otkrila problem. Ime dolazi iz toga što bug iskorištava nedostatak u ekstenziji koja se naziva Heartbeat, koji omogućuje napadačima da čitaju povjerljive enkriptirane podatke, ali i da uzmu enkripcijske ključeve koji se koriste za osiguravanje tih podataka. To znači da serveri koji poprave bug, koristeći “zakrpu” koju je ponudio OpenSSL, moraju također nadograditi sve svoje ključeve ili će i dalje biti ranjivi. Ranjivost navodno postoji još od 2011. godine, ali greška je tek nedavno uočena. TechCrunch napominje kako se ne može znati koji su podatci prikupljeni, jer iskorištavanje buga ne ostavlja trag na serverima.
Što napraviti?
Dok pojedini savjetuju da se idućih nekoliko dana klonite samo onih usluga koje zahtijevaju prikupljanje osjetljivih podataka, poput kupovine na internetu, drugi citiraju blog Tora, softvera koji bi trebao omogućiti anonimnost svojim korisnicima, a koji je također bio “zaražen” bugom:
Ako imate potrebu za jakom anonimnošću i privatnosti na internetu, možda biste se trebali u potpunosti maknuti s interneta dok se situacija ne slegne.
Također, ako ste korisnik kakve “zaražene” stranice, trebali biste promijeniti lozinku, ali tek nakon što stranica popravi grešku.