हार्दिक भेद्यता: उपयोगकर्ताओं के लिए हमारी सिफारिशें

हार्टबल भेद्यता , जो ओपनएसएसएल के कुछ संस्करणों के "दिल की धड़कन" घटक में मौजूद है, पहले से ही पर्याप्त विस्तार से लिखा गया है। इसकी मुख्य विशेषता यह है कि एक हमलावर इस लाइब्रेरी का उपयोग करने वाले सर्वर पर एक प्रक्रिया में मेमोरी एड्रेस (64KB लंबा) की एक निश्चित सीमा पढ़ सकता है। इस भेद्यता का उपयोग करते हुए, एक विशेष रूप से तैयार किए गए अनुरोध को भेजकर हमलावर कर सकते हैं:

• अपनी सेवाओं से पासवर्ड / लॉगिन चोरी करें।
• गोपनीय कुकीज़ तक पहुँचें।
• जिस सर्वर पर आप HTTPS (समझौता HTTPS से अधिक) के साथ काम कर रहे हैं, उसके प्राइवेट एसएसएल / टीएलएस की चोरी करें।
• किसी भी गुप्त जानकारी को चोरी करें जिसे HTTPS सुरक्षित रखता है (पत्र, सर्वर पर संदेश, आदि पढ़ें)।

हमलावर HTTPS से बाद में भी समझौता कर सकते हैं (एक प्रसिद्ध हमले जैसे MitM के माध्यम से ), उनके हाथों में एक निजी SSL / TLS कुंजी (एक सर्वर होने का दिखावा) है।

सफल शोषण का एक उदाहरण याहू है, जो इस भेद्यता के संपर्क में था। हार्टब्लेड का उपयोग करते हुए, आप स्पष्ट पाठ में उपयोगकर्ता लॉगिन और पासवर्ड का उपयोग कर सकते हैं। [HTTPS के लिए भेद्यता तय और प्रमाण पत्र फिर से जारी किया गया] ।



हम उपयोगकर्ताओं को सलाह देते हैं:

• उन लोगों से संपर्क करें। इन सेवाओं की संभावित भेद्यता के बारे में स्थिति स्पष्ट करने के लिए उन कंपनियों की इंटरनेट सेवाओं के लिए समर्थन जहां आपके खाते (मेल, ऑनलाइन बैंकिंग सहित) हैं।
• यदि आपको किसी भेद्यता की उपस्थिति की पुष्टि मिली या संदेह है कि सेवा से समझौता किया गया है, तो अपना पासवर्ड बदलें।
• किसी भी संदिग्ध गतिविधि के लिए अपने ऑनलाइन बैंकिंग लेनदेन को ट्रैक करें।

यदि आप Google Chrome ब्राउज़र का उपयोग करते हैं, तो ब्राउज़र में वेबसाइट प्रमाण पत्र की जानकारी को अपडेट करने के लिए "सर्वर प्रमाणपत्र निरस्त हो गया है, इसकी जाँच करें" को सक्रिय करें। डिफ़ॉल्ट रूप से, यह सेटिंग अक्षम है।



व्यवस्थापकों को:

• यदि आप OpenSSL संस्करण 1.0.1 - 1.0.1f का उपयोग कर रहे हैं, तो नवीनतम संस्करण 1.0.1g पर अपग्रेड करें, जिसमें दिल की धड़कन घटक के लिए फिक्स शामिल है।
• OpenSSL में अपग्रेड करने के बाद, नई निजी कुंजी और SSL / TLS प्रमाणपत्र बनाएं।
• पुराने प्रमाणपत्र को निरस्त करें।
• पासवर्ड बदलने की सेवा के उपयोगकर्ताओं को सूचित करें, क्योंकि वे समझौता कर सकते थे।