علة SSL يهدد الاتصالات الآمنة

SSL ، اختصار لـ Secure Sockets Layer ، هو ما يضع S في HTTPS. يعرف مستخدمو الدهاء أنهم يبحثون عن HTTPS في شريط العناوين قبل إدخال أي معلومات حساسة على موقع ويب. تنشر منشورات SecurityWatch الخاصة بنا بشكل متكرر تطبيقات Android التي تنقل البيانات الشخصية دون استخدام طبقة المقابس الآمنة. للأسف ، فإن علة "Heartbleed" المكتشفة مؤخرًا تسمح للمهاجمين باعتراض الاتصالات المحمية بواسطة طبقة المقابس الآمنة.

يسمى هذا الخطأ Heartbleed لأنه يؤثر على ميزة تسمى نبضات القلب ، ويؤثر على إصدارات معينة من مكتبة تشفير OpenSSL المستخدمة على نطاق واسع. وفقًا لموقع الويب الذي تم إنشاؤه للإبلاغ عن Heartbleed ، فإن الحصة السوقية المجمعة لأكبر خوادم ويب مفتوحة المصدر تستخدم OpenSSL تزيد عن 66 بالمائة. يستخدم OpenSSL أيضًا لتأمين البريد الإلكتروني وخوادم الدردشة وشبكات VPN و "مجموعة واسعة من برامج العميل." كل شيء في كل مكان.

انها سيئة ، سيئة حقا

يكتسب المهاجم الذي يستفيد من هذا الخطأ القدرة على قراءة البيانات المخزنة في ذاكرة الخادم المتأثر ، بما في ذلك مفاتيح التشفير المهمة. يمكن أيضًا التقاط أسماء وكلمات مرور المستخدمين ومجموع المحتوى المشفر. وفقًا للموقع ، "يسمح هذا للمهاجمين بالتنصت على الاتصالات وسرقة البيانات مباشرةً من الخدمات والمستخدمين وانتحال شخصية المستخدمين والمستخدمين."

يمضي الموقع إلى ملاحظة أن التقاط المفاتيح السرية "يسمح للمهاجم بفك تشفير أي حركة مرور سابقة ومستقبلية إلى الخدمات المحمية." الحل الوحيد هو التحديث إلى أحدث إصدار من OpenSSL وإلغاء المفاتيح المسروقة وإصدار مفاتيح جديدة. ومع ذلك ، إذا اعترض المهاجم حركة المرور المشفرة وخزنها في الماضي ، فإن المفاتيح التي تم التقاطها ستفك تشفيرها.

ماذا يمكن ان يفعل

تم اكتشاف هذا الخطأ بشكل مستقل من قبل مجموعتين مختلفتين ، زوج من الباحثين من Codenomicon وباحث أمن Google. اقتراحهم القوي هو أن OpenSSL يطلق نسخة تعطل خاصية نبضات القلب تمامًا. مع نشر هذه النسخة الجديدة ، يمكن اكتشاف المنشآت المعرضة للخطر لأنها فقط ستستجيب لإشارة نبضات القلب ، مما يتيح "استجابة منسقة واسعة النطاق للوصول إلى مالكي الخدمات المستضعفة".

مجتمع الأمن يأخذ هذه المشكلة على محمل الجد. ستجد ملاحظات حول هذا الموضوع على موقع US-CERT (فريق الولايات المتحدة لحالات الطوارئ الحاسوبية) ، على سبيل المثال. يمكنك اختبار الخوادم الخاصة بك هنا لمعرفة ما إذا كانت عرضة للخطر.

للأسف ، ليس هناك نهاية سعيدة لهذه القصة. لا يترك الهجوم أي آثار ، لذلك حتى بعد إصلاح موقع الويب للمشكلة ، لا يوجد ما إذا كان المحتالون قاموا باستغلال البيانات الخاصة أم لا. وفقًا لموقع Heartbleed ، سيكون من الصعب على IPS (نظام منع التسلل) التمييز بين الهجوم وبين حركة المرور المشفرة العادية. لا أعرف كيف تنتهي هذه القصة ؛ سأعود مرة أخرى عندما يكون هناك المزيد لتخبره.