کابوس هارت‌بلید و خطر جدی آن برای کاربران

در بعد از ظهر روز دوشنبه ۸ آوریل ۲۰۱۴ جامعه آی‌تی با یک شوک امنیتی عظیم روبرو شد. در این روز باگی با نام Heartbleed توسط تیم امنیتی گوگل و شرکت امنیتی Codenomicon کشف شد که سرورهایی که تحت پروتکل امنیتی OpenSSL قرار دارند همچون Airbnb, پینترست، ناسا و بسیاری دیگر را در معرض خطر امنیتی جدی قرار داد.
این باگ ظاهرا تنها در اثر یک اشتباه در کدنویسی OpenSSL ایجاد شده است. به دلیل محبوبیت پروتکل متن باز OpenSSL بسیاری از وب سایت‌ها (حدود ۵۶٪ کل وب‌سایت‌ها) برای حفظ امنیت خود از این پروتکل استفاده می‌کنند و با وجود باگ هارت‌بلید احتمالا حدود نصف آنها مبتلا باشند که در این صورت با وارد شدن به حساب کاربری خود در یکی از این سایت‌ها تمام اطلاعات شما همچون پسوردها، اطلاعات کارت اعتباری، ایمیل‌ها و حتی متن چت خود را در معرض دزدیده شدن قرار داده اید.
خبر بد این است که به احتمال بسیار زیاد شما نیز به طور مستقیم یا غیر مستقیم در معرض خطر این باگ امنیتی خطرناک قرار دارید متاسفانه در حال حاضر کار زیادی از دست شما برای حفظ امنیت برنمی‌آید. چرا که در ابتدا باید شرکت‌های آلوده به این باگ اقدام به رفع باگ مربوطه کند. چیزی که هنوز به طور قطع مشخص نشده است. و سپس سریعا نسبت به تغییر کلمات عبور خود اقدام نمایید. اما خوشبختانه هنوز هیچ هکری موفق به نفوذ در این حفره امنیتی نشده است.

اجازه دهید کمی عمیق‌تر در مورد مفهوم امنیت در اینتنرت، حفره امنیتی هارت‌بلید و خطر جدی آن صحبت کنیم.

امنیت در اینترنت و خطر ضد امنیتی Heartbleed

تامین امنیت در اینترنت حال حاضر به وسیله رمزگذاری به روی اطلاعات تامین شده است. این بدین معناست که اطلاعات ارسالی توسط شما به شخص یا یک سرور دیگر محفوظ و غیر قابل خواندن توسط شخص سوم باشد. با رشد روز افزون جمعیت کاربران در اینترنت، حفظ امنیت اطلاعات شخصی اهمیت بیشتری پیدا کرده است. رمز نگاری اطلاعات مانند این است که ۲ شخص به زبان رمزی خاصی با یکدیگر صحبت می‌کنند و با توجه به راهنمای رمزگشایی که فقط نزد این ۲ نفر است، اقدام به ترجمه صحبت‌ها می‌کنند. در فضای اینترنت نیز این رمزنگاری‌ها توسط پروتکل‌های امنیتی SSL/TLS انجام می‌گردد.
OpenSSL یکی از سرویس‌های رایگان و متن باز محبوب است که وب سرورهایی همچون Apache و Nginx نیز از آن استفاده می‌کنند. نه تنها اپلیکیشن‌ها و وبسایت‌ها بلکه بسیاری از سرویس‌های ایمیل، کلاینت‌های گفتگوی مستقیم کاربران، روترهای شبکه و حتی پرینترها نیز از OpenSSL استفاده می‌کنند. حدود ۶۶ درصد کل دنیای اینترنت تحت امنیت OpenSSL قرار دارد و این یعنی تمام اطلاعات رد و بدل شده از جمله متن، عکس، کلمات عبور و غیره و غیره تحت سایه OpenSSL عبور می‌کند.

اما چرا Heartbleed کابوس نامیده شده است؟

تا اینجای کار متوجه اهمیت و فراگیر بودن OpenSSL شدیم. حالا تصور کنید این غول امنیتی به طور ناگهانی دارای یک حفره امنیتی شده است. ایرادی که به افراد اجازه دسترسی به کلید رمزگشایی اطلاعات امن در حال عبور از OpenSSL را می‌دهد. با استفاده از این حفره امنیتی شخص خرابکار می‌تواند از تمام اطلاعات یک نسخه کپی برای خود تهیه کند و یا آنها را منتشر کند.

این همان Heartbleed است. حفره امنیتی خطرناکی که متاسفانه از حوالی دسامبر ۲۰۱۱ وجود داشته و حتی در نسخه ۲۰۱۲ OpenSSL نیز برطرف نشد. بنابراین هرگونه اپلیکیشن، وبسایت، بانک و هرگونه سرویس دیگر که طی این ۲ سال از OpenSSL استفاده کرده باشد دچار این حفره امنیتی است. ضمن اینکه ۲ سال زمان بسیاری برای سواستفاده از این حفره امنیتی است و معلوم نیست چه مقدار از اطلاعات در دسترس بوده است. دلیل نامیدن این حفره امنیتی به عنوان یک کابوس نیز همین است.

اما نکته مهم این است که تمام سرویس‌های اینترنتی از OpenSSL استفاده نمی‌کنند و همچنین این احتمال وجود دارد که نسخه‌های ماقبل ۲۰۱۱ OpenSSL دارای این حفره امنیتی نیستند. اما متاسفانه تا اینجای کار بسیاری از سرویس‌های محبوب اینترنتی از نسخه آسیب پذیر آن استفاده می‌کنند.

اکنون برای حفظ امنیت چه باید کرد؟

در ابتدا توصیه شده در صورتی که امنیت برای شما اهمیت فوق العاده‌ایی دارد در این هفته اینترنت را ترک کنید تا تمام وب سایت‌ها اقدام به رفع این باگ کنند. اما در غیر این صورت در این لینک لیست سایت‌های آلوده را مشاهده کرده و یا از طریق سرویس Heartbleed Checker شرکت لست‌پس وب سایت مورد استفاده خود را کنترل نمایید. با وارد کردن آدرس سایت و مشاهده پیغام سبز رنگ Now Safe که مربوط به امنیت کامل سایت است، سریعا اقدام به تغییر تمام پسوردها و اطلاعات امنیتی موجود در آن سرویس نمایید. در غیر اینصورت از تغییر هرگونه اطلاعاتی دست نگه دارید و ترجیحا هیچ استفاده ایی از وب سایت مربوطه نکنید تا تعمیرات SSL اعمال شود.

سایت‌هایی نظیر یاهو و OKCupid که حاوی اطلاعات شخصی بسیاری از کاربران هستند سریعا اقدام به رفع این حفره امنیتی کرده‌اند پس کاربران تمام سرویس‌های این دو سایت (مانند فلیکر، ایمیل یاهو و غیره) اقدام به تغییر کلمه کاربری خود نمایند. سایت‌های گوگل، توییتر و فیسبوک به طور قطع مشخص نشد که آلوده به این حفره امنیتی هستند یا خیر ولی برای امنیت بیشتر، پروتکل امنیتی SSL خود را به روز کردند و از کاربران خواستند کلمه عبور خود را تغییر دهند.

سردبیر مشیبل آقای Lance Ulanoff نیز در این رابطه به سوالات تعدادی از کاربران در فیسبوک پاسخ داده که مطالعه آن را توصیه می‌کنیم :

هارت‌بلید چیست؟

هارت‌بلید یک حفره امنیتی موجود در میلیون‌ها وب‌سایت است که به هکرها اجازه دسترسی به اطلاعات رمزنگاری شده بین شما و سرور را می‌دهد. این یعنی اطلاعات موجود در آن سرورها قابل دزدیده شدن هستند.

آیا این صرفا یک تهدید اینترنتی است؟

بله تنها در اینترنت و سایت‌هایی که از OpenSSL استفاده می‌کنند.

آیا هارت‌بلید یک ویروس است؟

نه کاملا. این فقط یک حفره است که وب‌سایت‌ها و اطلاعات کاربر را در معرض حمله قرار می‌دهد.

پس چرا تا به حال کشف نشده بود؟

این مورد تنها یک اشتباه در کدنویسی بوده و در اثر حمله ایجاد نشده است. به نظر می‌رسد در اثر یک تصادف ناشی از کدنویسی اشتباه سازندگان OpenSSL ایجاد شده است.

لیستی از سایت‌هایی که از OpenSSL استفاده می‌کنند، وجود دارد؟

میلیون‌ها وبسایت هستند که از OpenSSL استفاده می‌کنند و عملا ایجاد لیست آنچنان ساده نیست. اما کمپانی لست‌پس ابزاری را برای بررسی سایت‌های مشکوک به این حفره را ایجاد کرده است.

چه زمانی باید اقدام به تعویض کلمات عبور خود نماییم؟

تغییر کلمه عبور در حال حاضر کار بیهوده‌ایی است چرا که امکان دزدیده شدن پسورد جدید نیز وجود دارد.

برای تامین امنیت وب‌سایت خود چه اقدامی باید انجام دهم؟

در صورتی که از OpenSSL استفاده می‌کنید در اسرع وقت بروزرسانی جدید را انجام دهید.

آیا هارت‌بلید فایروال‌ها را نیز تحت تاثیر قرار داده است؟

این مورد یک حمله به فایروال‌ها محسوب نمی‌شود. بلکه در صورت وجود این آسیب‌پذیری (روی سایت یا سرویس) ارتباط مابین شما و آن حفره به سادگی انجام می‌پذیرد.

وضعیت امنیت اینترنت در حال حاضر به چه صورت است؟

هم اکنون در وضعیت امن است.

آیا شما معتقدید این حفره امنیتی به طریقی به NSA مربوط باشد؟

خیر

منابع : (+ و + و + و +)