Bezpečnostní chybu v SSL šifrování objevili analytici společnosti Google ve spolupráci s bezpečnostní společností Codenomicon již během pondělí. Na veřejnost však tuto informaci pustili později, čímž nechali správcům serverů čas na opravu. Chybu nazvali Heartbleed Bug, což lze volně přeložit jako "chyba krvácejícího srdce".
Chyba se podle odhadů odborníků týkala až dvou třetin internetových serverů. Šifrování SSL/TLS patří mezi základní bezpečnostní prvky mnohých on-line systémů. Zabezpečuje například přístupy do internetového bankovnictví, šifruje velké množství on-line komunikace a často také VPN sítě.
Týká se to mě?Seznam testovaných webů s výsledky V textovém souboru můžete dohledat, zda se chyba týkala serverů, na které přistupujete. Podívejte se ZDE. |
Kvůli kompromitované OpenSSL knihovně mohl útočník získat náhodné části dat z paměti serverů v nešifrované podobě a z nich získat uživatelská jména, hesla a šifrovací klíče. Jimi pak mohli dešifrovat i zabezpečovanou komunikaci. Zda a v kolika případech k tomu opravdu došlo, je zatím otázkou.
Nepříjemné je, že zneužití této chyby po sobě nenechá jakékoli stopy a nelze je identifikovat. Pokud server či služba využívaly chybnou bezpečnostní knihovnu, je narušení bezpečnosti spíše možné, než pravděpodobné. Zda případné bezpečnostní riziko stojí za výměnu hesla či občerstvení šifrovacích klíčů, je na úvaze každého uživatele.
Podle testů společnosti Qualys se chyba týkala kupříkladu serverů Yahoo nebo Flickr. Servery Amazonu, Google a eBay však na seznamu nejsou. Chyba se totiž objevila jen v některých verzích Open SSL knihovny, takže náprava ani není komplikovaná - správce musí použít její novou verzi.
Používáte-li prohlížeč Google Chrome, můžete si nainstalovat doplněk Chromebleed, který zkontroluje verzi SSL knihovny prohlíženého webu a na jeho případnou zranitelnost vás upozorní vyskakovací oknem.
Spoustu detailních informací přinesl ve svém blogovém příspěvku softwarový architekt Troy Hunt - v angličtině ZDE.
