Kritická chyba: dva roky byly vaše zabezpečené komunikace nezabezpečené

  7:03aktualizováno  7:03
Závažná chyba při generování klíčů prostřednictvím systému Debian OpenSSL způsobuje bezpečnostní hrozbu, jejíž důsledky přetrvávají i po opravě a může mít vliv i na další operační systémy.
Chyba působila, jako kdybyste dali na svůj sejf obyčejný zámek.

Chyba působila, jako kdybyste dali na svůj sejf obyčejný zámek.

Dva roky nikdo neřešil chybu v komponentě Debian OpenSSL, která nyní ohrožuje tisíce webových serverů a je hojně využívána na systémech s OS Linux. Podle britského serveru Guardian za vším stojí snaha vyřešit jiný problém se zdrojovým kódem OpenSSL, na který v roce 2006 narazil programátor Kurt Roeckx.

OpenSSl je šifrovací knihovna, která umožňuje šifrovat a dešifrovat data a generuje dlouhé řetězce náhodných čísel, které slouží jako bezpečnostní klíč. A právě zde na stal problém. Chyba v kódu umožnila, že klíče je velice jednoduché odhalit a soubory tak snadno dešifrovat.


Roeckx tehdy nechal zdrojový kód knihovny prověřit programem Valgrid, který zahlásil potenciální chybu v části kódu. Programátor se pak obrátil na tvůrce OpenSSL, zda může problematické dvě řádky programu odstranit s tím, že neví, co to udělá při generování náhodných čísel.

"Pokud to pomůže k nalezení a odstranění potenciálního problému, odejměte je,“ odpověděl mu podle Guardianu Ulf Möller z OpenSSL. Roeckx to tedy provedl, avšak řádky nevymazal jen dočasně pro účely testování, jak se s Möllerem dohodl, ale úpravu pustil do finální verze. Navíc informaci o této změně poslal do nesprávné konference a tak se o tom další vývojáři Open SSL nedozvěděli.

Od té doby byla takto upravená knihovna šířena s řadou linuxových distribucí, jako je Ubuntu nebo Debian.

Bohužel však tato část kódu byla velice důležitá a bez ní knihovna vytvářela číselnou řadu, která využívala množství kombinací pouze 215 oproti standardním 2128. Velice jednoduše se tak mohl k obsahu zašifrovaných souborů dostat každý, kdo o chybě věděl. Slušný počítač totiž dokáže takový klíč rozlousknout za několik sekund.

Zneužít se to dalo například při ověřování digitálních certifikátů pro zabezpečený přístup ke stránkám nebo jejich ověření, případně při generování digitálního podpisu. Takový certifikát přitom mohla vydat jakákoliv seriózní organizace. Navíc se chyba netýká jen systémů Debian/Ubuntu, ale všech aplikací, kde jsou použity SSL klíče generované s použitím Roeckxem poškozené knihovny.

Problémy však nekončí ani s napravením problému. Právě již chybně generované klíče jen tak nezmizí. Debian OpenSSL je sice opraveno, ale důsledky přetrvávají.

Nejčtenější

Tom Cruise: Vypněte funkci vylepšení pohybu na svých televizorech

DO KINA: Tom Cruise a Úžasňákovi budou znovu zachraňovat svět

Tom Cruise na svém twitterovém účtu nabádá filmové fanoušky k vypnutí funkcí pro vylepšení vykreslení pohybu při...

Vývoj evropské superstíhačky je na spadnutí. Není to příliš brzy?

Model letounu NGF na listopadové výstavě Euronaval v Paříži

Francouzská ministryně obrany Florence Parlyová na svém twitterovém účtu 20. listopadu oznámila dosažení shody s...

Exekutoři varují před vakce.net. I bez objednávky hrozí exekucí

Exekuce

I nedokončený nákup na e-shopu s velice levným zbožím může vést k soudní exekuci. Naštěstí jen smyšlené, jak se...

Raketa Falcon 9 neúspěšně přistála do moře, náklad ale letí dál k ISS

Nepovedené přistání Falcon 9

Porucha hydraulického čerpadla znemožnila přistání nosného stupně rakety Falcon 9. Přistál, či spíše spadl, do moře...

Žádná speciální jednotka se bez něj neobejde. Zkusili jsme noční vidění

Zkouška noktovizoru LPNVG (Low Profile Night Vision Goggle) s označením...

Neobešlo by se bez nich ani dopadení Bin Ládina. Brýle pro noční vidění používají speciální jednotky po celém světě....

Další z rubriky

Deset aplikací pro předpověď počasí

Ilustrační foto - počasí

Ať už jste lovec bouřek, nebo se jen chystáte na cestu do školy či práce, možná by vám přišla vhod aplikace pro PC,...

Stáhněte si zdarma: soukromý Netflix nebo kopie opravdu celého disku

Ilustrační foto - výlety

Vlastní videotéku najdete v programu Plex Media Server, umí i streamovat obsah. Router Default Password vám najde...

Tipy a triky pro Windows 10: přehrávání hudby v uzamčeném PC

Tipy a triky pro Windows 10

Víme, jak ovládat hudební playlist, i když je počítač zamčen. Podíváme se i na to, jak rychle skrýt ikony na ploše, jak...

Najdete na iDNES.cz