Mi a Heartbleed Bug és hogyan védekezhetsz és biztonságban maradhatsz?

Tartalomjegyzék:

Mi a Heartbleed Bug és hogyan védekezhetsz és biztonságban maradhatsz?
Mi a Heartbleed Bug és hogyan védekezhetsz és biztonságban maradhatsz?

Videó: Mi a Heartbleed Bug és hogyan védekezhetsz és biztonságban maradhatsz?

Videó: Mi a Heartbleed Bug és hogyan védekezhetsz és biztonságban maradhatsz?
Videó: Windows XP end-of-life: What To Expect (from CT-Anderson) - YouTube 2024, Március
Anonim

Közel 70 százaléka a forgalom az interneten foglalkoztat OpenSSL az adatátvitel biztosításához. Ez majdnem az összes fő kiszolgálóra (olvasható: weboldalakra) fordítja az OpenSSL-t az adatok, például a bejelentkezési adatok hitelesítése érdekében. Azonban valaki a Google-tól talált hibát az OpenSSL-ben - egy kisebb programozási hiba, de elég nagy ahhoz, hogy adatait adják hackereknek - az emberek hajlandóak az adatok felhasználására a céljukat illetően. Ez az OpenSSL hiba neve heartbleed mivel szorosan kapcsolódik az OpenSLL néhány HeartBeat rétegéhez.

Mi a Heartbleed Bug?

A szerverek többsége elfogadja a titkosított adatokat, dekódolja a titkosítási kulcsokkal és továbbítja a feldolgozásra. Mivel a legtöbb kiszolgáló FIFO (First in First Out) módszert alkalmaz a végfelhasználók számára, gyakran az adatok (a dekódolás után) egy ideig a kiszolgáló memóriájában ülnek, mielőtt a szerver további feldolgozást végez.
A szerverek többsége elfogadja a titkosított adatokat, dekódolja a titkosítási kulcsokkal és továbbítja a feldolgozásra. Mivel a legtöbb kiszolgáló FIFO (First in First Out) módszert alkalmaz a végfelhasználók számára, gyakran az adatok (a dekódolás után) egy ideig a kiszolgáló memóriájában ülnek, mielőtt a szerver további feldolgozást végez.

A Heartbleed Bug aggodalomra ad okot szinte minden internetes kereskedelmi weboldalra és más típusokra. Ez a programozási hiba lehetővé teszi a hackereknek, hogy ellenőrizzék az OpenSSL-t használó szervereket, és olvassák / mentse / használják a titkosítatlan adatokat (dekódolt adatok). A hackerek most már nem csak hozzáférnek az adataikhoz, hanem a weboldal bizonyítványát is reprodukálják, ami az internetet még veszélyesebb helyre teszi. A webhely tanúsítványának másolatával a hackerek létrehozhatják az imitációs webhelyeket: olyan webhelyeket, amelyek hasonlítanak az eredeti webhelyekre. Ezzel tovább hozzáférhetnek az Ön adatait, például a hitelkártya adatait, személyes adatait stb.

A hangok félelmetesek, igaz? Valóban - ahogyan hozzáférhet az Ön információihoz, és az információk bármelyik végére használhatók.

jegyzet: A Heartbleed kódszáma CVE-2014-0160 kódnevet is tartalmaz. A CVE a közös sérülékenységeket és expozíciókat jelenti. A sebezhetőségekkel kapcsolatos kódokat a MITER, egy független testület adja meg, amely nyomon követi a hibákat és hasonló kérdéseket.

Fel kell frissítenem a vírusirtót vagy valami ilyesmit

Az OpenSSL-ben lévő Heartbleed-hibának nincs semmi köze a víruskeresőhöz vagy a tűzfalhoz. Ez nem ügyféloldali probléma, így te is keveset tehetsz. A másik oldalon a szervereknek patch-ot kell alkalmazniuk az általuk használt OpenSSL rendszerre. Ez megtörtént, a weboldal biztonságosabbá tehető az interakcióhoz.

Mit tehet a felhasználóként, hogy csökkentse a kereskedelmi látogatások számát és hasonló webhelyeket. Nem arról van szó, hogy a hiba csak a kereskedelem helyszíneit érinti. Ez egyenlő az OpenSSL-t használó összes weboldalra. Azt mondom, hogy elkerüljék a kereskedelem helyeit egy ideig, mivel azok lennének a fő célpontok a hackerek számára, akik szeretnék a kártya adatait stb. Ez azt jelenti, hogy a hackerek elsődleges célpontja az e-kereskedelmi webhelyek használata az OpenSSL segítségével.

Miután kaptál egy üzenetet / jelentést, hogy a hiba meg van javítva, akkor folytathatod, ahogy a hiba felfedezése előtt megtettél. Az OpenSSL létrehozott egy javítást, és kiadta azt a webhelytulajdonosoknak, hogy biztosítsák a felhasználók adatait. Addig próbáld meg elkerülni azokat az oldalakat, ahol bármilyen formában megadni kell az adatokat - még a bejelentkezési adatokat is. Biztos vagyok benne, hogy szinte minden webmesternek be kell lépnie a javításhoz, de még mindig van probléma. Ha biztos benne, hogy nincsenek sérülékenységek vagy ilyen biztonsági rések történtek, akkor jó ötlet lenne megváltoztatni a jelszavadat.

Eközben használja ezeket a böngészőbővítményeket, hogy figyelmeztessen a Heartbleed érintett webhelyekre.

A Heartbleed által átmásolt helyszíni tanúsítványokat meg kell oldani

Nagy esély van arra, hogy webhelybiztonsági tanúsítványokat másoltak rosszindulatú webhelyek létrehozására. Mivel a biztonsági tanúsítványok általános másolatok, a böngészők nem mondhatják el a különbséget. Önnek kell óvatosnak lenni. Kerülje a hivatkozásokra való kattintást, majd írja be a címsorba a weboldal URL-címét, hogy ne irányítson át egy hamis webhelyre.

Ez a probléma két módon megoldható:

  1. A piacon elérhető böngészőket elég okosnak kell lenni ahhoz, hogy azonosítsák a másolt tanúsítványokat, és figyelmeztessék Önt.
  2. A webmesterek a javítás alkalmazása után módosítják a tanúsítványokat.

Más szóval, a fentiek végrehajtásához eltart egy ideig, még akkor is, ha a webmesterek alkalmazzák a javítást. Szeretném megismételni, hogy nem kattintanak az e-mailek vagy nem neves webhelyek linkjeire. Egyszerűen írja be az URL címet, vagy ha az eredeti webhely könyvjelzővel van ellátva, használja a könyvjelzőt.

A cikk végén található Referenciák rész tartalmazza az érintett webhelyek átfogó listáját. Befejezetlen, mert az érintett webhelyek többet érinthetnek, mint az ott felsorolt webhelyek.

Irodalom:

  • Heart Bleed: Weboldal
  • OpenSSL: Biztonsági tanácsadó a Heart Bleed számára
  • Git Hub: Érintett weboldalak listája.

Ajánlott: