Повече от една година, след като беше открита уязвимостта Heartbleed в OpenSSL - технологията за криптиране на данните, все още има устройства, които са застрашени от атаки - рутери, суичове, системи за автоматизация и др., които не са получили съответния fix, а някои производители не планират да ги премахнат.
Какво представлява Heartbleed
Heartbleed е уязвимост в широко разпространената OpenSSL библиотека - OpenSSL (Open Secure Sockets Layer) е метод за криптиране на информацията с отворен код и се прилага към SSL и TLS протоколите за сигурност на данни.
Чрез Heartbleed трети лица могат да се сдобият с данни, които са защитени от библиотеката. Поради широкото разпространение на SSL/TLS, който се използва за web, email, virtual private networks (VPNs) и други, този бъг е изключително опасен и широко разпространен.
В същността си дупката позволява на всеки да прочита паметта на дадено устройство и по този начин може да се сдобие със секретни ключове, които се използват за защита на трафик, потребителски пароли и дадено съдържание на сървъра.
На база проведени тестове се посочва, че в реален пример са откраднати потребителски имена, паролите им, имейли и важни документи, което доказва действието и сериозността на този бъг.
Най-често задаваният въпрос е дали някой потребител е бил жертва на този бъг. За съжаление обаче няма как да се даде точна информация дали е така, защото използването на дупката не оставя никакви следи по сървъра.
Кои версии на OpenSSL са засегнати
1. OpenSSL 1.0.1 до 1.0.1f включително са засегнати.
2. Всички версии след 1.0.1g и преди 1.0.1 не са засегнати.
Дупката е налична само в посочените версии, защото през декември 2011 г. е написан кодът на версия 1.0.1 и на 14.03.2012 г. е пуснат официално. След като е установено наличието на бъга, е пусната нова версия (1.0.1g) на 07.04.2014 г.
Как да се защитим
Използването на всяка версия, различна от споменатите по-горе, е напълно достатъчно, за да сте сигурни, че няма да бъдете засегнати от този бъг или да станете жертва на атака.
Защо Heartbleed Bug е все още актуален
След като тази дупка беше разкрита, множеството доставчици приложиха съответния fix. Въпреки това много устройства, като рутери, суичове, системи за автоматизация и др. не са получили съответния fix и не се очаква подобно действие от производителите им. Именно това е и причината този бъг да остане все още актуален.
