بر اساس گزارش NetCraft، شرکت پژوهشی اینترنت، احتمالآ حدود نیم میلیون وبسایت تحت تأثیر قرار گرفته اند و این بدان معناست که اطلاعات حساس بسیاری از کاربران مانند نام کاربری، رمزعبور و اطلاعات کارت اعتباری، بطور بالقوه در خطر سرقت هستند.
OpenSSL چیست؟؟
ابتدا به معرفی SSL می پردازیم؛
SSL مخفف "Secure Socket Layer" است که به تازگی تحت عنوان TLSیا "Transport Layer Secure" شناخته می شود.
SSL پایه ای ترین مفهوم در بحث رمزگذاری اطلاعات روی وب می باشد که امکان شنود اطلاعات افراد را در حین مرور اینترنت کاهش می دهد.
OpenSSL یک نرم افزار متن باز برای پیاده سازی SSLروی وب است.همچنین OpenSSLبعنوان بخشی از سیستم عامل لینوکس و بخش تشکیل دهنده ی Apacheو Nginx -دو برنامه برای اجرای وبسایت ها- استفاده می شود.
بر اساس گزارش ها نسخه های 1.0.1تا 1.0.1f این نرم افزار آسیب پذبرند.
چه کسی این حفره را یافت؟؟
بر اساس اسناد، شرکت امنیتی Codenomiconو Neel Mehta پژوشگر گوگل در یک روز ولی بطور جداگانه این حفره را کشف کرده بودند.
چرا این حفره Heartbleed نام گرفت؟؟
بر اساس گزارش Voactive واژه ی Heartbleed توسط مدیر سیستم شرکت Codenomicon پیشنهاد شد.
نام رسمی این حفره CVE-2014-0160 است که درواقع نامی برای خطی از کد که حاوی این حفره بود، می باشد.
چرا برخی سایت ها تحت تأثیر Heartbleed نیستند؟؟
گرچه SSLبسیار مشهور است ولی انتخاب های دیگری برای SSL/TLSنیز وجود دارد، از طرف دیگر برخی سایت ها از نسخه ی قبلی OpenSSLکه آلوده نبوده استفاده می کنند
یا اینکه در بعضی موارد ویژگی Heartbeat -پروتکلی است که برای باز نگهداشتن ارتباطات حتی زمانیکه در آن ها جریان داده ای وجود ندارد، به کار می رود- که مرکز اصلی آسیب پذیری است غیرفعال می باشد که خود ممکن است باعث عدم تأثیر پذیری و آلودگی گردد.
هرچند دو مورد ذکر شده امکان آلودگی را کم می کنند اما آنچه محدوده ی آسیب رسانی را به طور چشمگیر کاهش می دهد، پیاده سازی PFS است؛ راهکاری که عمر مفید کوتاه کلید رمزگذاری را تضمین می کند و این بدان معناست که حتی اگر مهاجمان از این آسیب پذیری به کلید رمزگذاری دست یابند، موفق به رمزنگاری تمامی اطلاعات نخواهند شد. البته لازم به ذکر است که تنها شرکت های بزرگ حوزه ی فناوری مانند گوگل و فیسبوک از این پیاده سازی بهره می برند.
این حفره چگونه کار می کند؟؟
این حفره به هکرها امکان دسترسی به 64KBاز حافظه ی سرور را می دهد، اما انجام مکرر این عمل توسط هکر باعث دستیابی به اطلاعات بیشتر می شود و این بدان معناست که هکر نتنها به نام کاربری که به کوکی ها نیز دست می یابد.
براساس گزارش ها تکرار حمله می تواند موجب سرقت اطلاعات بسیار مهم تر مانند کلید SSLکه برای رمزگذاری ترافیک به کار می رود، گردد؛ این کلید می تواند برای اجرای نسخه ی جعلی از یک وبسایت و در نتیجه سرقت سایر اطلاعاتی چون پیام های خصوصی و شماره های کارت های اعتباری شود.
چطور بفهمیم که یک وبسایت آلوده هست یا خیر؟؟
برخی شرکت ها و برنامه نویسان سایت هایی برای بررسی آلودگی سایر وبسایت ها طراحی کرده اند.
دو مورد خوب از این دستهLastPass،سازنده ی نرم افزار مدیریت پسورد و Qualys، شرکت امنیتی، هستند.
آیا باید در مورد حساب های بانکی نگران بود؟؟
بسیاری از بانک ها از OpenSSLاستفاده نمی کنند بلکه نرم افزارهای رمزگذاری اختصاصی خود را به کار می گیرند، با این همه درصورت عدم اطلاع از این موضوع بهترین راهکار تماس مستقیم با بانک جهت تأیید امنیت وبسایت می باشد.
چطور بفهمیم که آیا کسی از Heartbleed برای سرقت اطلاعات ما استفاده کرده است یا خیر؟؟
براساس گزارش های Codenomiconمتأسفانه سوء استفاده از این حفره هیچ ردپایی از اتفاق افتادن رویدادهای غیرعادی در سیستم ثبت رویداد وبسایت به جای نمی گذارد
حفره ی HeartBleed، آسیب پذیری بزرگ امنیتی که امکان سرقت اطلاعات از سرورها را فراهم می کند،تجهیزات دو شرکت بزرگ تولید کننده ی ابزارهای شبکه یعنی سیسکو و ژونیپر را نیز مبتلا کرد.
مرکز مشاوره ی سیسکو لیست محصولات و سرویس های آسیب پذیر خود را ارائه کرد؛ بسیاری از محصولات این لیست، تجهیزات ارتیاطی مانند IP Telephone ها و سرورهای ارتباطی تولید شده در این شرکت، می باشند.
همچنین سرویس های پیام رسان سیسکو نظیر CRES و WMS که آسیب پذیر بنظر می رسیدند، به گفته ی شرکت اصلاح شده اند.
شرکت ژونیپر هم لیست محصولات آسیب پذیر خود را اعلام کرد؛ این محصولات، تولیدات بر پایه ی Junos OS 13.3R1 و Odyssey Client 5.6r5 به بعد را شامل می شود.
حفره ی HeartBleed که یک آسیب پذیری OpenSSL است و بعقیده ی کارشناسان امنیت یک آسیب پذیری فاجعه آمیز می باشد که بر رویحدود نیم میلیون وبسایت اثر گذاشته است