Máme pro vás jednu nepříjemnou, ale o to víc urgentní zprávu z kategorie počítačové bezpečnosti. V jedné ze široce používaných bezpečnostních knihoven, OpenSSL, byla objevena vysoce kritická bezpečnostní díra, která může vést k úniku citlivých soukromých dat i například přístupových údajů. Chyba postihující verze 1.0.1 až 1.0.1f a 1.0.2-beta1 již byla opravena (verzí 1.0.1g), nicméně postižené knihovny byly mezitím používány po dobu více než dvou let, takže potenciál pro její zneužití byl (a je) ohromný. OpenSSL se používá mimo jiné pro implementaci ověřování a zabezpečeného přístupu přes protokol https.
Bezpečnostní chyba nazvaná neformálně Heartbleed Bug vznikla v implementaci rozšíření hearbeat extension (odtud přezdívka) standardu TLS/DTLS. V kódu knihovny se nachází od prosince (decembra roku 2011). Netýká se především vašeho počítače jako je tomu u děr v prohlížečích a OS. Hlavním problémem je možnost, že za dobu, kdy byly postižené knihovny používány, mohlo dojít ke zkompromitování velkého množství serverů a webových služeb, včetně poskytovatelů mailu a dalších. Je tedy doporučeno si nyní (nebo až budete vědět, že správce nasadil opravený software) změnit přístupová hesla k různým důležitějším službám – minimálně k těm, jejichž ovládnutí by vám mohlo způsobit hmatatelné škody (bankovnictví).
V široce používané bezpečnostní knihovně OpenSSL zela dva roky kritická díra
Napadení serveru bylo zřejmě možné bez pomoci nějakých zvláštních okolností. Laicky řečeno zela v serveru otevřená brána, umožňující vloupání. Navíc zřejmě úspěšný útok nezanechával stopy. Jak známá byla tato zranitelnost v počítačovém podsvětí předtím, než byla odhalena a opravena (a nyní zveřejněna), je tedy těžké odhadnout, a totéž platí o otázce, k jakému množství úspěšných útoků kvůli ní došlo. OpenSSL je otevřeným softwarem, takže programátoři se zločinnými úmysly měli možnost zranitelný kód odhalit (a vzhledem k tomu, jak široce je OpenSSL používána, byl za tímto účelem kód nepochybně mnohými studován). Pokud byste rádi technicky erudovanější výklad (v angličtině), můžete si přečíst popis na webu Heartbleed Bug.
Server na požádání vyklopil obsah paměti
Chyba je zřejmě způsobena scházející sanitizací vstupu (knihovna špatně ověřuje, zda je korektní/bezpečný), takže útočník dokáže z běžícího programu vymámit výpis až 64 KB operační paměti. Tímto způsobem lze ovšem ze serveru a asi i klientského počítače, pokud se připojí k útočné stránce, dostat citlivá data. Odborníci proto varují, že zneužívání chyby mohlo v průběhu uplynulých dvou let vést k masivním únikům přístupových údajů, šifrovacích klíčů, certifikátů a dalších zneužitelných dat. Útoky byly možné bez jakékoli stopy zanechané v napadeném serveru, a hacker se navíc mohl dostat k údajům, které mu umožní se do serveru dostat i poté, co bude díra zalátána instalací nové verze OpenSSL. Také ukradená hesla a certifikáty lze samozřejmě zneužít i nadále, takže skutečné škody se mohou projevit až po čase.
Napadení byly zřejmě vystaveny nejen servery, ale i klientské počítače, pokud při připojení na web a ke službám OpenSSL používaly. Co se serverů týče, je OpenSSL součástí výchozí konfigurace nejpopulárnějšího serveru Apache, takže podle různých odhadů mohla být nebezpečnou verzí knihovny kompromitována nadpoloviční většina webů (spolu s taktéž postiženým nginx by to dle studie Netcraftu mohlo být 66 % webu, navíc tím se potenciál ještě nevyčerpává).
Zatímco diagnostika zranitelnosti a její zalátání novou verzí softwaru bude pro správce webů primitivním úkolem, skutečná „léčba“ bude mnohem nepříjemnější. Bude třeba zneplatnit certifikáty, které mohly být kompromitovány, měnit přístupové údaje uživatelů, a nějak se vyrovnat s možností zneužití dalších informací, které mohly potenciálně utéct. Nejhorší je pochopitelně, že nelze snadno říct, které to jsou.
Zdroje: Hearbleed Bug, Ars Technica (1, 2)
