Mandag den 7. april blev der fundet en stor sårbarhed kendt som "Heartbleed" i det populære OpenSSL kryptografiske bibliotek, som er meget brugt med applikationer og webservere. Webstederne og tjenesterne på tværs af internettet har således travlt med at patche denne sårbarhed og opdatere SSL-certifikaterne for at beskytte deres kunder. Som sagt er OpenSSL v1.0.1 til og med 1.0.1f (inklusive) sårbare, og OpenSSL 1.0.1g udgivet den 7. april 2014 retter denne fejl.
Et uddrag fra Heartbleed.com siger,
Heartbleed Bug er en alvorlig sårbarhed i det populære OpenSSL kryptografiske softwarebibliotek. Denne svaghed gør det muligt at stjæle informationen, der under normale forhold er beskyttet af SSL/TLS-kryptering, der bruges til at sikre internettet. SSL/TLS giver kommunikationssikkerhed og privatliv over internettet til applikationer som web, e-mail, instant messaging (IM) og nogle virtuelle private netværk (VPN'er).
Heartbleed-fejlen giver enhver på internettet mulighed for at læse hukommelsen på de systemer, der er beskyttet af de sårbare versioner af OpenSSL-softwaren. Dette giver angribere mulighed for at aflytte kommunikation, stjæle data direkte fra tjenesterne og brugerne og udgive sig for at være tjenester og brugere.
Tjek, om dit websted eller din Android-telefon er påvirket af Heartbleed-fejlen –
Der er nogle tjenester, der kan fortælle dig, om det websted, du har betroet dine oplysninger, var eller stadig er sårbart, og hvornår dets certifikat blev opdateret.
Filippo Valsordas Heartbleed-test – filippo.io/Heartbleed
Indtast en URL eller et værtsnavn for at teste din server for Heartbleed (CVE-2014-0160). Du kan angive en port som denne example.com:4433. 443 som standard.
LastPass Heartbleed checker – lastpass.com/heartbleed
Se, om et websted er sårbart over for Heartbleed. Det viser webstedets serversoftware, fortæller, om det var sårbart, og om SSL-certifikatet nu er sikkert, og hvornår det sidst blev oprettet.
Chromebleed (Google Chrome-udvidelse)
Viser en advarsel, hvis det websted, du browser, er påvirket af Heartbleed-fejl. Den tjekker sidens URL ved hjælp af Filippos tjeneste. Nyttigt, hvis du ikke ønsker at tjekke webstederne manuelt.
Mashable har fulgt en interessant liste over velkendte websteder, der angiver deres nuværende status, som om de var berørt, og om du skal ændre din adgangskode.
Heartbleed Detector til Android –
Android-brugere kan nemt tjekke, om deres Android-enhed er sårbar over for HeartBleed-fejl med en gratis app kaldet "Heartbleed Detector" fra Lookout Mobile Security. Appen bestemmer, hvilken version af OpenSSL din enhed bruger. Hvis din enhed kører en af de berørte versioner af OpenSSL, tjekker den derefter, om den specifikke sårbare adfærd er aktiveret eller ej.
Men hvis din enhed er sårbar, er der ingen nødvendige handlinger, du kan tage, medmindre en patch er udgivet af Google eller din enhedsproducent.
Tags: Android Security