На днях стало известно о существовании дыры в безопасности протокола шифрования данных OpenSSL. Проблема существует уже 2 года. В течение всего этого периода хакеры, которые могли знать о дыре, бесконтрольно могли читать вашу переписку, знать информацию о ваших банковские данных, вашу почту и т.д.

Дыру в безопасности назвали Heartbleed. Эксперты по безопасности информации считают, что это самая большая угроза безопасности частной информации за все время существования интернета. Об этом пишет авторитетное издание Businessinsider.

Причем это не просто баг в каком-то приложении, который легко можно апдейтнуты. Дыра в безопасности серверов, которые обеспечивают безопасную передачу данных в таких сервисах как Facebook, Gmail и тысячах других.

Что такое «Heartbleed баг»?

Heartbleed — дыра в безопасности OpenSSL — опенсорсный стандарт шифрования данных, который используют большинство сайтов для шифрования данных, проходящих между сервером и пользователем. Это дает возможность шифровать ваши данные при обмене сообщениями в чате или электронной почте.

Шифрование происходит следующим образом, что если кто-то перехватит вашу информацию, это будет только набор символов, который не имеет никакого смысла.

Когда компьютеры устанавливают между собой безопасное соединение через OpenSSL они отправляют друг другу так называемый heartbeat (сердцебиение) — небольшой пакет данных, который просит дать ответ на запрос.

Из-за ошибки в программном коде OpenSSL злоумышленники получили возможность послать неавторизованный heartbeat таким образом, что сервер будет воспринимать его как авторизованный компьютер и может получить доступ к данным, хранящихся в частности, в памяти серверов.

Насколько высока угроза для пользователя?

Это самый высокий уровень угрозы из существующих до сегодняшнего дня. Веб серверы могут держать в своей активной памяти много информации, включая пароли, контент, который загрузил пользователь. Даже номера кредитных карточек.

Но самое опасное то, что у хакеров появилась возможность доступа к ключам шифрования — кодов, которые дают возможность превратить бессмысленную информацию, которая передается между пользователем и сервером, в нормальную.

Имея такие ключи хакер может перехватывать зашифрованные данные (даже не имея доступа к серверу) и расшифровывать ее. Например, можно подключиться к вашему интернет -кабеля , и снимать с него всю вашу переписку по почте.

То есть это означает , что пока на сервере изменения значения ключи безопасности - хакеры смогут продолжать читать вашу информацию.

Касается это вас лично?

Скорее всего, да. Это может касаться вас как прямо, так и косвенно. OpenSSL — популярный стандарт шифрования в интернете. Ваши любимые сайты, сайт вашей компании, сайт, где вы оплачиваете коммунальные услуги покупаете книги, многие из них используют OpenSSL.

По информации компании Netcraft, с почти 1 миллиарда существующих на сегодняшний день сайтов, 66% используют технологии на базе SSL.

Что надо сделать, чтобы защитить себя?

Поскольку проблема существует уже более 2 лет и процесс доступа к данным не оставлял никаких следов вмешательства — это значит, что так или иначе кто-то мог получить доступ к вашим данным. Важно изменить ваши пароли. Особенно для сервисов, где есть важная и чувствительная информация. Однако, если сайт, где хранится эта информация, НЕ обновил OpenSSL, изменение вашего пароля ничего не даст — угроза доступа к данным будет храниться.

Почтовые сервисы Gmail и Yahoo.Mail уже «залатали» дыру, и просят пользователей изменить свои пароли. Аналогичная ситуация с социальной сетью Facebook и сервисом хранения данных Dropbox.