La scoperta di un bug molto pericoloso, che metterebbe a rischio i dati sensibili e le password di milioni di utenti, è la notizia che maggiormente sta preoccupando gli utenti di tutto il mondo. Stiamo parlando del bug chiamato Heartbleed e scoperto da alcuni ricercatori finlandesi che operano per una società di sicurezza californiana; allo stesso tempo pare che la falla sia stata individuata anche da alcuni addetti alla sicurezza di Google.
Vediamo meglio nel dettaglio il problema e come capire se si è stati colpiti
OpenSSL ha introdotto un’estensione chiamata Heartbeat a Dicembre 2011, con la sua 1.0.1 build release e come definito dal RFC 6520 TLS/DTLS Heartbeat Extension. La funzione di questa estensione era quella di evitare di ristabilire le sessioni e permettere un meccanismo per mantenere aperte le sessioni SSL più a lungo. OpenSSL è utilizzato da molti siti e software: dai server open source come Apache e nginx ai server email, i server per le chat, le VPN e perfino le applicazioni di rete.
La vulnerabilità, soprannominata Heartbleed Bug, esiste su tutte le implementazioni Open SSL che utilizzano l’estensione Heartbeat. Se utilizzata su un server vulnerabile permette di avere accesso alla memoria del computer, senza lasciare traccia. La memoria del computer può ovviamente contenere informazioni e dati sensibili e questo bug può essere utilizzato da chiunque.
Versioni OpenSSL infette e come scoprire se si è stati colpiti
- Solo le versioni 1.0.1 e 1.0.2-beta release sono infette, incluse 1.0.1f e 1.0.2-beta1
- Gli utenti possono scoprire se sono stati colpiti a questo sito
- Gli utenti colpiti devono fare l’upgrade a OpenSSL version 1.0.1g, rilasciata il 7 aprile
Per saperne di più potete consultare il blog specializzato che descrive al meglio la vulnerabilità!
