Heartbleed – bląd w zabezpieczeniach OpenSSL

Odkryty duży błąd w zabezpieczeniach OpenSSL i szyfrowania danych wysyłanych do stron internetowych. Luka została została nazwana Heartbleed.

Heartbleed, znany również jako CVE-2014-0160 to luka w bibliotece OpenSSL, która umożliwia kradzież informacji zabezpieczonych protokołem SSL/TLS. Heartbleed pozwala napastnikowi na przeprowadzenie ataku MITM, phishing i kradzież danych.

Luka została odkryta przez jednego z pracowników firmy Google oraz przez firmę ds. bezpieczeństwa o nazwie Codenomicon. Giganci internetu, którzy mogli zostać dotknięci przez ten błąd – wdrożyli już stosowne poprawki. Błąd nie jest wadą protokołu SSL/TLS. Jak twierdzą eksperci, problem tkwi po stronie biblioteki OpenSSL.

Istnienie Heartbleed nie oznacza, że przez ostatnie 24 miesiące cyberprzestępcy mogli skorzystać z tej luki – trudno powiedzieć, kto i ile osób mogło o niej wiedzieć. Serwis Mashable przygotował listę zagranicznych serwisów, które mogły mieć tę lukę, na liście znalazł się m.in. Facebook, konta Google (także Gmail), Tumblr, Yahoo oraz Dropbox.