حفرههای امنیتی امروزه به یکی از جدیترین مشکلات موجود در فضای سایبری مبدل شدهاند اما در تازهترین مورد، مشکل بزرگی به نام Heartbleed به طور گستردهای باعث رعب و وحشت کاربران اینترنتی شده است. متخصصین امنیتی معتقدند دوسوم وبسایتها و احتمالا همه افرادی که در طول دوسال گذشته از اینترنت استفاده کردهاند ممکن است مورد هجوم این حفره امنیتی قرار گرفته باشند. مشکل وقتی حادتر میشود که بدانیم وبسایتهایی که تلاش بیشتری برای حفظ حریم امنیتی کاربران کردهاند، نفوذپذیرترند.
مشکل امنیتی Heartbleed
این مشکل امنیتی مستقیما نرمافزار رمزگذاری OpenSSL یعنی قابلیت رمزگذاری بر روی وب را هدف قرار داده است. به واسطه بروز این مشکل امنیتی هر فردی میتواند به استراق سمع بر روی سایتهای رمزگذاری شده بپردازد و به اطلاعات حساسی که باید محافظت شوند دسترسی داشته باشد. همه این نفوذها بدون باقی ماندن ردپای شخص بر روی سرورهای سایت انجام میشوند. نفوذگران میتوانند کلیدها و گذرواژهها را برای رمزگشایی از ترافیک وب در گذشته و آینده نیز به کار ببرند.
این مشکل امنیتی در نسخه 1.01 OpenSSL در سال 2012 تشخیص داده شده است و بدان معناست که نفوذگران چیزی در حدود دو سال وقت داشتهاند تا ویپیانها و سرویسهای امنیتی دیگر و حتی ایمیلها، پیامها و فعالیتهای مرورگرها را تحت سلطه خود داشته باشند. متاسفانه هیچ راهی وجود ندارد تا با به کارگیری آن مشخص شود چه کسانی مورد حمله قرار گرفتهاند. سایتها و کاربرانی که بیش از دیگران قصد داشتهاند فعالیتهای وبگردیشان به طور مخفیانه انجام شود بیش از دیگران در معرض خطرند. سهم عمدهای از وبسایتهایی که از ارتباطات ایمن HTTPS استفاده میکنند مانند شبکه Tor از جمله هدفهای نفوذگرانند.
پروژه Tor در پست منتشره خود در وبلاگش اذعان داشته همه کاربران و سرویسهای این شرکت در مقابل این باگ امنیتی نفوذپذیر بودهاند. این شرکت اذعان داشته کسانی که قصد دارند همچنان امنیت و حریم خصوصی خود را در اینترنت حفظ کنند بهتر است چند روز و یا هفتهای را دور از اینترنت بگذرانند تا اوضاع تغییر کند.
این مشکل امنیتی فراتر از این هم رفته و در تحقیق منتشره از سوی شرکت امنیتی Netcraft مشخص شده، 66 درصد از وبسایتهایی که بر روی وبسرورهای اپنسورس Apache و Nginx اجرا شدهاند به طور پیشفرض از OpenSSL بهره میبرند. سیستمعاملها و برنامههای دیگری مانند اوبونتو، CENTOS،Fedora،OpenBSD،FreeBSD و OpenSUSE که توزیعهای لینوکس هستند نیز از همین وضعیت برخوردارند.
محققانی که از شرکت گوگل و شرکت امنیتی Codenomicon، این مشکل امنیتی را کشف کردهاند اعلام کردهاند بخش اعظمی از وبسایتها همچنان از این نسخه مشکلدار OpenSSL استفاده میکنند و البته مدنظر داشته باشید که سرویسهای فعالتر در وب، بیشتر در معرض تهدید قرار دارند. چیزی در حدود نیم میلیون وبسایت قابل نفوذند که از مهمترین آنها میتوان به Yahoo,Flicker اشاره کرد. میتوانید لیستی بلند بالا از این وبسایتها را بر روی Github مشاهده کنید.
ابزارها و اسناد مختلفی وجود دارند که میتوانند لیستی کامل از وبسایتهای در معرض تهدید Heartbleed ( با نام تخصصی CVE-2014-0160) را به شما نمایش دهند. سرویسها و وبسایتهایی مانند گوگل، مایکروسافت، توییتر، فیسبوک و دراپ باکس در معرض تهدید این مشکل امنیتی قرار ندارند.
روز گذشته نسخه بهبود یافته و بدون مشکلی از OpenSSL منتشر شد و متخصصان امنیتی به کلیه وبسایتها سفارش میکنند تا نسخه نرمافزاری مورد استفاده خود را ارتقا دهند. برای اطمینان و امنیت بیشتر، بهتر است کلیه گذرواژهها و کلیدهای مورد استفاده در طول دوسال گذشته را تغییر دهید و گواهیهای امنیتی مرورگر خود را به روز رسانی کنید. اگر نگرانی بیشتری دارید، بهتر است به توصیههای Tor عمل کنید و چندروزی را دور از محیط جذاب اینترنتی بگذرانید.
Source: Motherboard.vice.com