براساس اطلاعیه دیتاسنتر در روز سه شنبه 19 فروردین 1393 متوجه یک حفره بزرگ امنیتی بر روی پروتکل OpenSSL شدیم که به تازگی توسط یکی از محققان گوگل به نام نیل میتا کشف شده است.
این باگ به شخص نفوذگر اجازه می‌دهد 64 کیلو بایت از داده‌های تصادفی در حال اجرا در حافظه‌ی موقت سرور را بیرون کشیده و شنود کند. این هک از این نظر که شخص نفوذگر اطلاعی از کاربردی‌بودن داده‌ها نداشته و کنترلی بر روی نوع داده‌های دریافتی ندارد به فیشینگ شبیه است؛ اما از آنجا که بصورت مکرر و پشت سر هم قابل تکرار است، پتانسیل بالایی برای درز داده‌های حساس در این میان وجود خواهد داشت. یکی از هدف‌های مشخص، کلیدهای رمزنگاری خصوصی سرور بوده که دلیل آن لزوم نگهداری آن در حافظه‌ی فعال و قابل شناسایی‌بودن آن در میان داده‌های تصادفی است. این کلیدها پس از افشا، امکان شنود ترافیک رد و بدل شده‌ی سرور را برای شخص نفوذگر فراهم کرده و بصورت بالقوه ممکن است باعث رمزگشایی هرگونه داده‌ی از پیش رمزگذاری شده نیز باشد.
این باگ که 66% سرورهای جهان را تحت الشعاع قرار داده است به اندازه ای بزرگ و خطرناک است که از آن با نام "خونریزی قلبی" یاد کرده اند. اطلاعات این باگ در وب سایت http://heartbleed.com قابل رویت است.
به مجرد این هشدار نسخه سیستم عامل سرور و نسخه Open SSL به روز رسانی شد. پس از آن تیم امنیتی مشغول بررسی سلامت و امنیت وب سایت های سرور شد. بررسی های ما نشان می دهد که خوشبختانه تا کنون هیچ یک از وب سایت های این شرکت از این طریق شنود نشده و یا هک نشده اند. این درحالی است که طبق هشدار پلیس فتا در اخبار 20:30 روز پنجشنبه گذشته اکثر وب سایت های دولتی و شرکت های مختلف هاستینگ در ایران هنوز از وجود این حفره مطلع نشده اند و بررسی های ما نیز نشان داد که خیلی از مدعیان بزرگ طراحی وب سایت در ایران هنوز موفق به رفع این مشکل نشده اند و بسیاری از وب سایت های دولتی و سازمانی ایران قابل هک هستند.
به نظر می‌رسد اپل، گوگل، مایکروسافت و سیستم‌های عمده‌ی بانکداری الکترونیکی خارجی تحت تأثیر این آسیب پذیری امنیتی قرار نگرفته‌اند (البته گفته می‌شود گوگل در ابتدا با این مشکل مواجه شده؛ اما سریع‌تر از سایر سرویس‌ها نسبت به رفع آن اقدام نموده است). از سوی دیگر، یاهو پیش از رفع باگ بخش‌های اصلی سرویس خود، برای قسمتی از روز تحت تأثیر و در حال نشت اعتبارات کاربران بوده است. بصورت کلی، هر سروری که از OpenSSL بر بستر وب‌سرور آپاچی یا Nginx استفاده می‌کرده، تحت تأثیر باگ مذکور قرار گرفته که در مجموع بخش اعظم کلیه‌ی سرورها و وب‌سایت‌ها و سرویس‌های اینترنتی را تشکیل می‌دهد.
شرکت موج آفرینان کویر این اطمینان را به شما می دهد که تمامی وب سایت های این شرکت از این لحاظ مشکلی ندارند. البته افرادی که به هر دلیل می خواهند اطمینان خاطر بیشتری داشته باشند می توانند به تغییر رمزعبور ایمیل و رمز مدیریت وب سایت خود اقدام نمایند.
Friday, April 11, 2014
