Phenquestions
Quase 70 por cento do tráfego na Internet emprega OpenSSL para proteger as transferências de dados. Isso se traduz em quase todos os principais servidores (leia-se: sites) usam OpenSSL para proteger seus dados, como credenciais de login. No entanto, alguém do Google encontrou um bug no OpenSSL - um pequeno erro de programação, mas grande o suficiente para fornecer seus dados a hackers - pessoas dispostas a usar seus dados para seus propósitos. Este bug do OpenSSL é denominado Heartbleed uma vez que está intimamente relacionado a alguma camada de HeartBeat do OpenSLL.
O que é Heartbleed Bug
A maioria dos servidores aceita dados criptografados, decodifica-os usando as chaves de criptografia e os encaminha para processamento. Uma vez que a maioria dos servidores emprega o método FIFO (First in First Out) para atender aos usuários finais, frequentemente, os dados (após a descriptografia) permanecem na memória do servidor por um tempo antes que o servidor os leve para processamento posterior.
O Bug Heartbleed é um caso de preocupação para quase todos os sites comerciais baseados na Internet e alguns outros tipos. Este erro de programação permite que os hackers façam check-in em qualquer servidor que utilize OpenSSL e leiam / salvem / usem os dados não criptografados (dados descriptografados). Os hackers agora não têm apenas acesso aos seus dados, eles podem reproduzir o certificado do site tornando a Internet um lugar ainda mais perigoso. Com a cópia do certificado do site, os hackers podem criar sites simulados: sites que se parecem com sites originais. Com isso, eles podem acessar ainda mais seus dados, como detalhes de cartão de crédito, informações pessoais etc.
Parece assustador, não é?? É - de fato - uma vez que pode acessar suas informações e essas informações podem ser usadas para qualquer fim.
Observação: Heartbleed também tem um nome de código CVE-2014-0160. CVE significa Vulnerabilidades e Exposições Comuns. Esses códigos relacionados a vulnerabilidades, etc. são fornecidos pelo MITER, um órgão independente que mantém o controle de bugs e problemas semelhantes.
Devo atualizar meu antivírus ou algo assim
O bug Heartbleed no OpenSSL não tem nada a ver com o seu antivírus ou firewall. Este não é um problema do lado do cliente, então você pouco pode fazer a respeito. Por outro lado, os servidores devem aplicar um patch ao sistema OpenSSL que estão usando. Feito isso, pode-se dizer que o site é mais seguro para interagir.
O que você pode fazer como usuário é reduzir o número de visitas a sites comerciais e semelhantes. Não é que o bug afete apenas os sites de comércio. É igual para todos os tipos de sites que usam OpenSSL. Eu digo evite sites de comércio por um tempo, pois eles seriam o principal alvo de hackers que querem os detalhes do seu cartão, etc. Isso significa que o principal alvo dos hackers seriam sites de comércio eletrônico usando OpenSSL.
Depois de receber uma mensagem / relatório de que o bug foi corrigido, você pode prosseguir como fazia antes de o bug ser descoberto. OpenSSL criou um patch e o lançou para proprietários de sites para proteger os dados de seus usuários. Até então, tente evitar sites onde você tem que fornecer seus dados de qualquer forma - até mesmo credenciais de login. Tenho certeza de que quase todos os webmasters estão indo para o patch, mas ainda há um problema. Depois de ter certeza de que não há vulnerabilidades ou que essas vulnerabilidades foram corrigidas, pode ser uma boa ideia alterar suas senhas.
Enquanto isso, use essas extensões de navegador para avisá-lo sobre sites afetados pelo Heartbleed.
Certificados do site copiados via Heartbleed precisam ser resolvidos
Existem grandes chances de que os certificados de segurança de sites possam ter sido copiados para a criação de sites maliciosos. Visto que os certificados de segurança são cópias gerais, seus navegadores podem não notar a diferença. É você quem deve permanecer cauteloso. Evite clicar em links e, em vez disso, digite o URL do site na barra de endereço para não ser redirecionado a algum site falso.
Este problema pode ser resolvido de duas maneiras:
- Os navegadores disponíveis no mercado devem ser inteligentes o suficiente para identificar certificados copiados e alertá-lo.
- Os webmasters alteram os certificados após a aplicação do patch.
Em outras palavras, levará algum tempo para implementar acima, embora os webmasters apliquem o patch. Gostaria de reiterar que não clique em links em e-mails ou sites sem reputação. Simplesmente, digite o URL na barra de endereço ou se o site original estiver marcado, use o marcador.
A seção de referências no final deste artigo contém uma lista incompreensível de sites afetados. Incompleto porque pode haver mais sites afetados do que os listados lá.
Referências:
- Heart Bleed: Site
- OpenSSL: Aviso de segurança para Heart Bleed
- Hub Git: lista de sites afetados.
