ओपनएसएसएल हार्टलेड के परिणाम

हार्टबेल्ड बन सकता है, अगर पहले से ही नहीं, सामान्य रूप से सबसे बड़ी सूचना भेद्यता।
किसी कारण से, मूल विषय में चर्चा गतिविधि बहुत अधिक नहीं है, जो मुझे बहुत ही आश्चर्य का विषय बनाती है।

क्या हुआ?

1 जनवरी, 2012 को, रॉबिन सेगेलमैन ने प्रस्तुत किया और स्टोव ने यह प्रतिबद्ध किया कि हार्टबीट ने ओपनएसएसएल में जोड़ा। यह वह प्रतिबद्ध था जिसने हार्टलेड नामक भेद्यता का परिचय दिया।

यह कितना खतरनाक है?

यह भेद्यता आपको आकार में 64KB तक की मात्रा में रैम पढ़ने की अनुमति देती है। इसके अलावा, भेद्यता दो-तरफ़ा है, इसका मतलब है कि आप न केवल असुरक्षित सर्वर से डेटा पढ़ सकते हैं, बल्कि यदि आप ओपनएसएसएल के असुरक्षित संस्करण का उपयोग करते हैं, तो हमलावर सर्वर आपके रैम का हिस्सा भी प्राप्त कर सकता है।

एक हमलावर, एक कमजोर इंटरनेट बैंक से कनेक्ट, कह सकता है, रैम से एक निजी एसएसएल कुंजी प्राप्त कर सकता है और आप पर एक MITM हमला कर सकता है, और आपका ब्राउज़र ऐसा व्यवहार करेगा जैसे कुछ भी नहीं हुआ था, क्योंकि प्रमाणपत्र सही है। या सिर्फ अपना उपयोगकर्ता नाम और पासवर्ड प्राप्त कर सकते हैं।

त्रासदी का पैमाना क्या है?

मेरे अनुमानों के अनुसार, लगभग use वेबसाइटें HTTPS कनेक्शन के लिए OpenSSL का उपयोग करती हैं, और उनमें से लगभग approximately आज तक असुरक्षित हैं।

भेद्यता कम से कम थी:

• 10 बैंक
• 2 भुगतान प्रणाली
• 8 वीपीएन प्रदाता
• mail.yandex.ru
• mail.yahoo.com

मेल.yandex.ru के साथ भेद्यता का उपयोग करते हुए, HTTP हेडर (और, कुकी को प्रतिस्थापित करना, उपयोगकर्ता के रूप में लॉग इन करना) के साथ उपयोगकर्ता पत्र प्राप्त करना संभव था, और, उदाहरण के लिए, अल्फ़ाबैंक से लॉगिन और पासवर्ड के साथ Unencrypt POST डेटा प्राप्त करने के लिए AlfaBank में। (इंटरनेट बैंकिंग)।

मैंने क्या किया है?

मैं बस वहां नहीं बैठ सकता था और देख सकता था कि उपयोगकर्ताओं के व्यक्तिगत डेटा हमलावरों के हाथों में कैसे बहते हैं।
सबसे पहले, मैंने कुछ वीपीएन प्रदाताओं को लिखा है जो ओपन वीपीएन प्रोटोकॉल के माध्यम से पहुंच प्रदान करते हैं, क्योंकि वह कमजोर हो सकता है। फिर, मैंने उन प्रणालियों में कमजोरियों की तलाश शुरू कर दी जहां कमजोरियां सबसे बड़ा खतरा बनती हैं: बैंक, भुगतान प्रणाली, मेल / जैबर सर्वर। मैंने असुरक्षित सेवाओं को कॉल किया और लिखा। एक नियम के रूप में, बैंक सुरक्षा सेवा को प्राप्त करना बेहद कठिन है, और वे केवल मेल द्वारा उत्तर देते हैं।

सेवा	ईमेल का समय	समय को बुलाओ	भेद्यता बंद होने का समय	प्रमाण पत्र पुनः जारी किया	लीक हुआ डेटा
mail.yandex.ru	12:46, 13:27 (त्वरित जवाब पाने के लिए बग बाउंटी में)	00:47	14:07	नहीं	मेल कुकी
अल्फ़ा बैंक	00:51	00:59	दोपहर 2 बजे।	नहीं	उपयोगकर्ता लॉगिन और पासवर्ड, लेनदेन, उपयोगकर्ता व्यक्तिगत डेटा, कुकीज़। इनकार कमजोरता !!
Liqpay	13:15	-	15:15	नहीं	नहीं (कचरा, पर्ल स्क्रिप्ट के टुकड़े)
InterKassa	13:15	13:20	18:28	हां	कुकीज का लेन-देन
Raiffeisen	13:35	13:30	~ १ ९: ००	नहीं	एन / ए
ओटक्रिटि बैंक	15:36	-	देर शाम	नहीं	एन / ए
मास्को के बैंक	-	~ 15: 30	~ 17: 00, केवल साइट असुरक्षित थी	-	-
Yahoo.com	-	-	22:20	हां	उपयोगकर्ता लॉगिन और पासवर्ड, मेल, कुकी
AyManiBank	-	14:31, 20:20	04/09 10:55	हां	उपयोगकर्ता लॉगिन और पासवर्ड, लेनदेन, कुकीज़, उपयोगकर्ता व्यक्तिगत डेटा
रूसी मानक	13:00	19:36, 09.04 10:38	04/09 13:00	नहीं	लेनदेन, कुकीज़, उपयोगकर्ता व्यक्तिगत डेटा
ओटीपी बैंक	04/09 2:20 बजे।	04/09 2:19 बजे।	04/09 15:03	नहीं	लेनदेन, कुकीज़, उपयोगकर्ता व्यक्तिगत डेटा
Russlavbank	~ १६: ००	-	09.04 ~ 12: 00, केवल साइट असुरक्षित थी	-	-
बैंक ज़ेनिट	-	21:50, 09.04 11:15, 04.04 15:25	04/09 18:20	नहीं	उपयोगकर्ता लॉगिन और पासवर्ड, कुकी
अक बर बैंक	-	-	11.04 15:30	नहीं	उपयोगकर्ता लॉगिन और पासवर्ड, लेनदेन

उपयोगकर्ता के रूप में मुझे क्या करना चाहिए?

यदि आप लिनक्स का उपयोग कर रहे हैं, तो आपको ओपनएसएसएल के नवीनतम उपलब्ध संस्करण में अपग्रेड करना होगा। अधिकांश वितरण में पहले से ही रिपॉजिटरी में पैच किए गए संस्करण हैं।
यदि आप OSX पर हैं, तो आप OpenSSL 0.9.8 का उपयोग करने की सबसे अधिक संभावना है, जो मैन्युअल रूप से नए संस्करण को स्थापित नहीं करने पर असुरक्षित है।

यदि आप विंडोज का उपयोग करते हैं, तो सबसे अधिक संभावना है कि आपके पास ओपनएसएसएल नहीं है। यदि आपने इसे मैन्युअल रूप से स्थापित किया है (उदाहरण के लिए, साइबरविन के माध्यम से), तो सुनिश्चित करें कि आपके संस्करण में भेद्यता नहीं है।

OpenSSL को अपडेट करने के बाद, इसका उपयोग करने वाले सभी अनुप्रयोगों को पुनः आरंभ करें!

ध्यान रखें - एक बड़ा मौका है कि अन्य लोगों के पास पहले से ही आपके पासवर्ड हैं । उन्हें बदलें, लेकिन अभी नहीं। अब कमजोर साइटों पर न जाएं। नीचे दिए गए लिंक का उपयोग करके भेद्यता के लिए साइट की जाँच करें।

साइट स्वामी / सिस्टम व्यवस्थापक के रूप में मुझे क्या करना चाहिए?

सबसे पहले, आपको तुरंत यह सुनिश्चित करना चाहिए कि आपका ओपनएसएसएल का संस्करण कमजोर है या नहीं। HTTPS के लिए तीन सेवाएं हैं: filippo.io/Heartbleed , possible.lv/tools/hb और www.ssllabs.com/ssltest । यदि आवश्यक हो तो अद्यतन संस्करण। सुनिश्चित करें कि आप संस्करण पैच के साथ स्थापित करते हैं, या 1.0.1.g.

यदि आपके पास ओपनएसएसएल का एक कमजोर संस्करण था, तो आपको पुराने एसएसएल प्रमाणपत्र को रद्द करना चाहिए - यह समझौता होने की संभावना है। यदि आपके पास सेवा में भेद्यता थी, तो पासवर्ड बदलने के लिए उपयोगकर्ताओं को सूचित करना सुनिश्चित करें और यदि आप उनका उपयोग करते हैं तो सत्र को रीसेट करें (PHPSESSID, JSESSID)

और मुझे विवरण चाहिए!

आप यहां भेद्यता विश्लेषण पढ़ सकते हैं, यहां और यहां अधिक जानकारी प्राप्त कर सकते हैं।
शीर्ष 10,000 में से 629 साइटें असुरक्षित हैं ।
खबर cnet.com पर।
Banki.ru पर अनुच्छेद

बोनस: अंधे और बहरे मिखाइल के बीच बातचीत