През последните няколко дни наименованието Hearbleed се превърна в широко обсъждана тема. Heartbleed е прякорът даден на уязвимост в най-популярната криптографска библиотека OpenSSL.
Heartbleed предизвика голямо внимание поради броя на засегнатите системи. Смята се, че около половин милион web сървъра, сертифицирани от официални институции са използвали версии на OpenSLL имащи въпросната уязвимост. Списъкът включва компании като Yahoo, Imgur, Flickr и др., a броят на по-малките компании и услуги използващи проблемната платформа възлиза на десетки милиони.
Какво всъщност е Hearbleed? Неприятният бъг позволява на недоброжелател да изпрати заявка към сървър използващ засегнатите версии на OpenSSL и да получи като отговор миниатюрна част от работната памет на сървъра без да има право на това. Проблемът е, че въпросната информация може да съдържа частния ключ, който конкретния сървър използва, за да криптира всички входящи и изходящи данни. Веднъж сдобил се с въпросния ключ, нападателят може да използва „man-in-the-middle“ атака за да декриптира потока данни преминаващи през сървъра. За да се осъществи man-in-the-middle атака недоброжелателят трябва да има директен достъп до мрежата, по която тече информацията. Например всеки в обхвата на безжичната мрежа на домашния рутер може да прихваща цялата входяща и изходяща информация. Тази информация обаче е криптирана и напълно безполезна без ключа използван за криптирането.
Поради естеството на атаката нападателят няма контрол над информацията, а вижда само това което преминава в момента. Ако потребителят изпраща своите потребителско име и парола по време на атаката, то те ще бъдат прихванати. Именно поради това компаниите засегнати от Heartbleed препоръчваха на своите потребители да не използват временно акаунтите си.
Оказа се, че уязвимостта съществува още от края на 2011 г., като все още не е известно дали и колко системи са били засегнати досега. След като Heartbleed навлезе в медийното пространство, компаниите засегнати от проблема побърза да го отстранят, а други като Apple се похвалиха, че техните потребители никога не са били изложени на риск.
Въпреки шума, който се вдигна около Heartbleed, вероятността вашите пароли да са попаднали в ръцете на хакери е малка. Най-доброто (и единствено) нещо, което всеки може да направи, за да бъде сигурен, че не е изложен на опасност е да смени своите пароли, но само след като доставчикът на услугата е потвърдил, че проблемът в техните сървъри е отстранен.
