banner-05-900-x-90
فناوری

کابوس هارت‌بلید و خطر جدی آن برای کاربران

Heartbleed_Hazards

در بعد از ظهر روز دوشنبه ۸ آوریل ۲۰۱۴ جامعه آی‌تی با یک شوک امنیتی عظیم روبرو شد. در این روز باگی با نام Heartbleed توسط تیم امنیتی گوگل و شرکت امنیتی Codenomicon کشف شد که سرورهایی که تحت پروتکل امنیتی OpenSSL قرار دارند همچون Airbnb, پینترست، ناسا و بسیاری دیگر را در معرض خطر امنیتی جدی قرار داد.
این باگ ظاهرا تنها در اثر یک اشتباه در کدنویسی OpenSSL ایجاد شده است. به دلیل محبوبیت پروتکل متن باز OpenSSL بسیاری از وب سایت‌ها (حدود ۵۶٪ کل وب‌سایت‌ها) برای حفظ امنیت خود از این پروتکل استفاده می‌کنند و با وجود باگ هارت‌بلید احتمالا حدود نصف آنها مبتلا باشند که در این صورت با وارد شدن به حساب کاربری خود در یکی از این سایت‌ها تمام اطلاعات شما همچون پسوردها، اطلاعات کارت اعتباری، ایمیل‌ها و حتی متن چت خود را در معرض دزدیده شدن قرار داده اید.
خبر بد این است که به احتمال بسیار زیاد شما نیز به طور مستقیم یا غیر مستقیم در معرض خطر این باگ امنیتی خطرناک قرار دارید متاسفانه در حال حاضر کار زیادی از دست شما برای حفظ امنیت برنمی‌آید. چرا که در ابتدا باید شرکت‌های آلوده به این باگ اقدام به رفع باگ مربوطه کند. چیزی که هنوز به طور قطع مشخص نشده است. و سپس سریعا نسبت به تغییر کلمات عبور خود اقدام نمایید. اما خوشبختانه هنوز هیچ هکری موفق به نفوذ در این حفره امنیتی نشده است.

اجازه دهید کمی عمیق‌تر در مورد مفهوم امنیت در اینتنرت، حفره امنیتی هارت‌بلید و خطر جدی آن صحبت کنیم.

امنیت در اینترنت و خطر ضد امنیتی Heartbleed

تامین امنیت در اینترنت حال حاضر به وسیله رمزگذاری به روی اطلاعات تامین شده است. این بدین معناست که اطلاعات ارسالی توسط شما به شخص یا یک سرور دیگر محفوظ و غیر قابل خواندن توسط شخص سوم باشد. با رشد روز افزون جمعیت کاربران در اینترنت، حفظ امنیت اطلاعات شخصی اهمیت بیشتری پیدا کرده است. رمز نگاری اطلاعات مانند این است که ۲ شخص به زبان رمزی خاصی با یکدیگر صحبت می‌کنند و با توجه به راهنمای رمزگشایی که فقط نزد این ۲ نفر است، اقدام به ترجمه صحبت‌ها می‌کنند. در فضای اینترنت نیز این رمزنگاری‌ها توسط پروتکل‌های امنیتی SSL/TLS انجام می‌گردد.
OpenSSL یکی از سرویس‌های رایگان و متن باز محبوب است که وب سرورهایی همچون Apache و Nginx نیز از آن استفاده می‌کنند. نه تنها اپلیکیشن‌ها و وبسایت‌ها بلکه بسیاری از سرویس‌های ایمیل، کلاینت‌های گفتگوی مستقیم کاربران، روترهای شبکه و حتی پرینترها نیز از OpenSSL استفاده می‌کنند. حدود ۶۶ درصد کل دنیای اینترنت تحت امنیت OpenSSL قرار دارد و این یعنی تمام اطلاعات رد و بدل شده از جمله متن، عکس، کلمات عبور و غیره و غیره تحت سایه OpenSSL عبور می‌کند.

اما چرا Heartbleed کابوس نامیده شده است؟

تا اینجای کار متوجه اهمیت و فراگیر بودن OpenSSL شدیم. حالا تصور کنید این غول امنیتی به طور ناگهانی دارای یک حفره امنیتی شده است. ایرادی که به افراد اجازه دسترسی به کلید رمزگشایی اطلاعات امن در حال عبور از OpenSSL را می‌دهد. با استفاده از این حفره امنیتی شخص خرابکار می‌تواند از تمام اطلاعات یک نسخه کپی برای خود تهیه کند و یا آنها را منتشر کند.

این همان Heartbleed است. حفره امنیتی خطرناکی که متاسفانه از حوالی دسامبر ۲۰۱۱ وجود داشته و حتی در نسخه ۲۰۱۲ OpenSSL نیز برطرف نشد. بنابراین هرگونه اپلیکیشن، وبسایت، بانک و هرگونه سرویس دیگر که طی این ۲ سال از OpenSSL استفاده کرده باشد دچار این حفره امنیتی است. ضمن اینکه ۲ سال زمان بسیاری برای سواستفاده از این حفره امنیتی است و معلوم نیست چه مقدار از اطلاعات در دسترس بوده است. دلیل نامیدن این حفره امنیتی به عنوان یک کابوس نیز همین است.

اما نکته مهم این است که تمام سرویس‌های اینترنتی از OpenSSL استفاده نمی‌کنند و همچنین این احتمال وجود دارد که نسخه‌های ماقبل ۲۰۱۱ OpenSSL دارای این حفره امنیتی نیستند. اما متاسفانه تا اینجای کار بسیاری از سرویس‌های محبوب اینترنتی از نسخه آسیب پذیر آن استفاده می‌کنند.

اکنون برای حفظ امنیت چه باید کرد؟

در ابتدا توصیه شده در صورتی که امنیت برای شما اهمیت فوق العاده‌ایی دارد در این هفته اینترنت را ترک کنید تا تمام وب سایت‌ها اقدام به رفع این باگ کنند. اما در غیر این صورت در این لینک لیست سایت‌های آلوده را مشاهده کرده و یا از طریق سرویس Heartbleed Checker شرکت لست‌پس وب سایت مورد استفاده خود را کنترل نمایید. با وارد کردن آدرس سایت و مشاهده پیغام سبز رنگ Now Safe که مربوط به امنیت کامل سایت است، سریعا اقدام به تغییر تمام پسوردها و اطلاعات امنیتی موجود در آن سرویس نمایید. در غیر اینصورت از تغییر هرگونه اطلاعاتی دست نگه دارید و ترجیحا هیچ استفاده ایی از وب سایت مربوطه نکنید تا تعمیرات SSL اعمال شود.

سایت‌هایی نظیر یاهو و OKCupid که حاوی اطلاعات شخصی بسیاری از کاربران هستند سریعا اقدام به رفع این حفره امنیتی کرده‌اند پس کاربران تمام سرویس‌های این دو سایت (مانند فلیکر، ایمیل یاهو و غیره) اقدام به تغییر کلمه کاربری خود نمایند. سایت‌های گوگل، توییتر و فیسبوک به طور قطع مشخص نشد که آلوده به این حفره امنیتی هستند یا خیر ولی برای امنیت بیشتر، پروتکل امنیتی SSL خود را به روز کردند و از کاربران خواستند کلمه عبور خود را تغییر دهند.

سردبیر مشیبل آقای Lance Ulanoff نیز در این رابطه به سوالات تعدادی از کاربران در فیسبوک پاسخ داده که مطالعه آن را توصیه می‌کنیم :

هارت‌بلید چیست؟

هارت‌بلید یک حفره امنیتی موجود در میلیون‌ها وب‌سایت است که به هکرها اجازه دسترسی به اطلاعات رمزنگاری شده بین شما و سرور را می‌دهد. این یعنی اطلاعات موجود در آن سرورها قابل دزدیده شدن هستند.

آیا این صرفا یک تهدید اینترنتی است؟

بله تنها در اینترنت و سایت‌هایی که از OpenSSL استفاده می‌کنند.

آیا هارت‌بلید یک ویروس است؟

نه کاملا. این فقط یک حفره است که وب‌سایت‌ها و اطلاعات کاربر را در معرض حمله قرار می‌دهد.

پس چرا تا به حال کشف نشده بود؟

این مورد تنها یک اشتباه در کدنویسی بوده و در اثر حمله ایجاد نشده است. به نظر می‌رسد در اثر یک تصادف ناشی از کدنویسی اشتباه سازندگان OpenSSL ایجاد شده است.

لیستی از سایت‌هایی که از OpenSSL استفاده می‌کنند، وجود دارد؟

میلیون‌ها وبسایت هستند که از OpenSSL استفاده می‌کنند و عملا ایجاد لیست آنچنان ساده نیست. اما کمپانی لست‌پس ابزاری را برای بررسی سایت‌های مشکوک به این حفره را ایجاد کرده است.

چه زمانی باید اقدام به تعویض کلمات عبور خود نماییم؟

تغییر کلمه عبور در حال حاضر کار بیهوده‌ایی است چرا که امکان دزدیده شدن پسورد جدید نیز وجود دارد.

برای تامین امنیت وب‌سایت خود چه اقدامی باید انجام دهم؟

در صورتی که از OpenSSL استفاده می‌کنید در اسرع وقت بروزرسانی جدید را انجام دهید.

آیا هارت‌بلید فایروال‌ها را نیز تحت تاثیر قرار داده است؟

این مورد یک حمله به فایروال‌ها محسوب نمی‌شود. بلکه در صورت وجود این آسیب‌پذیری (روی سایت یا سرویس) ارتباط مابین شما و آن حفره به سادگی انجام می‌پذیرد.

وضعیت امنیت اینترنت در حال حاضر به چه صورت است؟

هم اکنون در وضعیت امن است.

آیا شما معتقدید این حفره امنیتی به طریقی به NSA مربوط باشد؟

خیر

منابع : (+ و + و + و +)

۹ دیدگاه

برای ارسال دیدگاه کلیک کنید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

موفقيت

تبلیغات بنری

pardano3

مطالب تصادفی

هفته پیش فرصت نشد عکس‌های مربوط به کتاب و کتابخوانی را در وبلاگ بگذارم، بنابراین اینجا به همه عکس‌هایی که در این دو هفته برای من ارسال شده است، توجه کنید: – علی حیدرزاده عکس برادرزاده و خواهرزاده‌شان را با کتاب برای ما ارسال کرده‌اند: – محمد قاسمیان عکسی از کتابفروشی «تام» در ویرجینیای غربی […]

ادامه

آیا خواندن آثار ادبی، علاوه بر لذت روحی و حظ ادبی، می‌تواند فواید دیگری داشته باشد؟ فی‌المثل خواندن کتاب چند جلدی «در جستجوی زمان از دست رفته» می‌تواند فایده عملی برایمان در بر داشته باشد؟! راستش، خود مارسل پروست، در برهه‌ای از زندگی خود اصلا تصورش را نمی‌کرد که کتاب‌هایی که خواهد نوشت بتواند هماوردی […]

ادامه

انقلاب از پدیده‌های دگرگون‌سازی است که در قرن بیستم به اوج خود رسیده و به صور متفاوت در جوامع مختلف دنیا اتفاق افتاد. در این کتاب نویسندگان معروفی چون میلان کوندرا، ریشارد کاپوشچینیسکی، گابریل گارسیا مارکز، نادین گوردیمر، آمیتاو گوش، سومت می، ترزا پامیس، رینالدو آره‌ناس، اورویل شل، ایوان کلیما، میخاییل ایگناتیف، تیموتی گارتن اش […]

ادامه

از بعضی از بزرگان دنیای ادب، فیلم‌ها و اسناد صوتی زیادی به جا مانده، از بعضی‌ها هم نه. به علاوه ما انتظار نداریم، در مورد بعضی از قدما، حتی یک تکه صوتی کوچک هم مانده باشد. تولستوی بی‌شک یکی از نوابغ ادبیات دنیاست. کدام آدم باقریحه و هنردوست و کتابخوانی را می‌شود خواند که تعلق […]

ادامه

پستهای محبوب یک ماه اخیر

افرادی که سریال می بینند معمولا به دو دسته کلی تقسیم می شوند : آنهایی که همزمان چند سریال را دنبال می کنند و آنهایی که تا یک سریال را به پایان نرساندند سریال دیگری را شروع نمی کنند. کسانی که اهل سریال باشند به خوبی می دانند که اعتیاد شدیدی در پشت آن پنهان […]

ادامه

سری عکس‌های برتر سال ۲۰۰۷ مجله Nature’s Best Photography را امروز به صورت اتفاقی دیدم. این مجله را با مجله NATURE معروف اشتباه نگیرید. عکس‌های برتر سال ۲۰۰۷ این مجله از لحاظ کیفیت به اعتقاد من با عکس‌های نشنال جئوگرافیک در زمینه طبیعت برابری می‌کنند. علاوه بر عکس، در این مجله مقاله‌هایی درباره حیات وحش، […]

ادامه

آیا شما کار و حرفه‌ای دارید که لازمه آن سر و کله زدن با طیف وسیعی از ارباب رجوع و مردم است؟ آیا شده که هنگام انجام این کار، با آدم‌های به کلی غیرمنطقی برخورد کنید که اعصابتان را به هم می‌ریزند؟ آیا گاهی مجبور می‌شوید که در میهمانی‌ها با یک آشنا یا فامیل دیدار […]

ادامه

فرانک مجیدی: درختان موجودات قابل احترامی هستند که بی‌شائبه زیبایی، رازآلودگی، سایه و مزایای خود را به ما ارزانی داشته‌اند. برخی از گیاهان تصاویر این پست، البته درخت نیستند، اما تصاویر اعجاب‌اوری ایجاد کردهاند که آن‌ها را در رده‌ی درختان این پست قرار دهیم. این تصاویر، دلیل خوبی است به تمام درختان مهربانِ زمین، احترام […]

ادامه

پستهای اخیر

امروزه خریدهای پرتکرار و روتین برای بسیاری از مردم، فرایند خسته‌کننده و پر دردسری می‌باشد. با فراگیر شدن فروشگاه‌های اینترنتی، راه حلی امروزی و آسان برای خرید کردن به وجود آمد. معمولا در خریدهای آنلاین ما با دو دسته کلی محصولات برمی‌خوریم، دسته اول محصولات کم‌مصرف مثل لوازم دیجیتال، لوازم‌خانگی و… هستند و دسته دوم […]

ادامه

صبح را با خبر آتش‌سوزی ساختمان پلاسکو آغاز کردم، این ساختمان که زمانی نماد جاه‌طلبی و تجددطلبی تهران بود، یک روزه نابود شد و در شرایطی که تصور خوشبینانه‌ام این بود که حریق قابل مهار خواهد بود، در نهایت این حادثه با به جا گذاشتن زخمی در دل شهر و گرفتن تعداد نامعلومی از هم‌وطنان […]

ادامه

وقتی بیماری دچار نارسایی قلبی شد، بر حسب میزان نارسایی و شرایط خاص بیمار، سه نوع درمان در پیش گرفته می‌شود: داروها- پیوند قلب یا استفاده موقت از وسایل کمکی. در دسته وسایل کمکی تا حالا وسیله عمده مورد استفاده Ventricular assist deviceها بودند. این وسیله به صورت کمکی خون را به داخل عروق پمپ […]

ادامه

برای هر کسی پیش می‌آید، برای بعضی‌ها بیشتر! اینکه بدون یک وسیله ضروری خانه یا محل کار را ترک کرده باشید. چیزهایی مثل کلید، عینک، گوشی موبایل، کارت بانکی، پرینت گزارش کاری که باید حتما تحویل می‌دادید، مودم همراه، داروها و … برخی از ماها اصولا فراموشکاریم، اما آن دسته از ما که ذاتا منظم […]

ادامه