פרצת האבטחה הגדולה ביותר בעשור האחרון

[NegativeIQ]

נראה לי שכדאי שנפתח על זה שרשור.

אם קראתם חדשות כבר בטח שמעתם על פרצת האבטחה שהתגלתה ב-7.4 ויש אומרים שהיא כנראה אחת הגדולות בהיסטוריה של האינטרנט.
למי שלא - כמה פרטים: הפרצה, שזכתה לכינוי Heartbleed, היא בחבילת OpenSSL, שהיא ספריית תוכנה שמממשת את פרוטוקול האבטחה SSL/TLS. זה הפרוטוקול שאתם משתמשים בו כשאתם גולשים לאתרים מאובטחים אבל יש לו עוד הרבה שימושים נוספים.
בגדול הפרצה מאפשרת לממש כל אחד לקרוא נתונים מהזיכרון של השרת, וזה יכול להיות כל-דבר כולל מפתחות הצפנה ופרטי זיהוי של משתמשים. חמור מכך, מסתבר שהפרצה קיימת כבר מ-2011 (החל מגרסה 1.0.1) והתגלתה רק עכשיו. ספריית OpenSSL בין ספריות ה-SSL הכי נפוצות ונראה שבשעת הגילוי כ-20% מהשרתים באינטרנט (!!) הריצו גרסה פגיעה. בנוסף הספריה הזאת רצה כמעט על כל דבר בעולם ואפשר למצוא אותה גם על טלפונים חכמים, ראוטרים מסויימים (בעיקר כאלה שמריצים קושחות צד-שלישי), טלויזיות חכמות ומה לא, מכשירים שבקושי מבצעים בהם עדכון תוכנה, וגם במחשב אפשר למצוא מספר עותקים שונים שלה שמגיעים עם כל-מיני תוכנות שונות (בעיקר ב-Windows). בקיצור ייקח כנראה המון זמן לתיקון לחלחל לכל מקום.

מעבר לכך ההתגוננות מהפרצה היא קשה יותר בסדרי גודל מבעיית אבטחה רגילה. ברור, צריך להתחיל בהתקנה של הגרסה החדשה עם התיקון (בגרסה 1.0.1g הבאג תוקן), אבל זה רק מונע דליפה חדשה של מידע - אם מישהו כבר הספיק להשתמש בזה ולגנוב לכם מפתחות הצפנה, סיסמאות וכיו"ב הוא יכול להמשיך להשתמש בהם גם אחרי התקנת התיקון. מה גם שהפרצה לא משאירה שום סימן, לכן אי-אפשר לדעת אם באמת גנבו מידע כזה או לא וחייבים להניח לחומרה.
במילים אחרות התקנת התיקון היא רק צעד ראשון. לאחר-מכן צריך להחליף את כל מפתחות ההצפנה שהשרתים השתמשו בהם והכי גרוע - כל משתמש שהתחבר לאתר מאז ה-7.4 ועד התקנת התיקון צריך לשנות סיסמה.

אגב, האפשרות הכי גרועה היא האפשרות שאולי מישהו גילה את זה כבר קודם ושמר את זה לעצמו. במקרה כזה אין שום דרך לדעת מה נגנב והאפשרויות הן בלתי-מוגבלות.

בקיצור, קטסטרופה. שתפו איך זה השפיע עליכם.

[kobbi]

הרסת למוסד את כל העבודה. בגללך תהיה להם פצצה

[Chura]

אכן מדובר בקטסטרופה, השירותים הגדולים בעולם היו חשופים ביניהם גוגל, דרופבוקס וכדומה.
אני אישית פשוט השתמשי בזה כדחיפה לשינוי הסיסמא השנתי שלי

[שלגון]

קיבלתי היום email מ- LastPass לגבי הסיפור הזה. הנה התוכן שלו במלואו:
[left]
News broke this week of a wide-reaching security vulnerability known as the Heartbleed bug. Heartbleed affects OpenSSL, used by a majority of the web to securely send data. In short, we want you to know that LastPass is safe from Heartbleed. For more details on the bug, please see our blog post
.

We also recommend running the LastPass Security Check (click on your LastPass browser icon, select Tools menu, select Security Check) which has been updated to alert you to accounts that may have been impacted by Heartbleed. The Security Check will identify the accounts in your vault that may be at risk and tell you the last time you updated that password, if the site has updated their certificates, and the action we recommend taking at this time.

Learn More

As always, your security is our priority and we will continue to monitor the situation and update our LastPass community.
[/left]
אני מבסוט מאיך שהם מתנהלים בשקיפות ובאחריות.
אני הולך להחליף כמה סיסמאות.

[ValorHeart]

קיבלתי מייל מ1Password לגבי הסיפור הזה גם..אצלי אין שום השפעה של SSL

[Shayosef]

לא קיבלתי מייל מ 1password

[Huber]

​What is Heartbleed, anyway?

http://www.engadget.com/2014/04/12/hear ... explained/

[NegativeIQ]

​What is Heartbleed, anyway?

http://www.engadget.com/2014/04/12/hear ... explained/

...

הנה תיאור יותר קל להבנה:
[imgbig]http://imgs.xkcd.com/comics/heartbleed_explanation.png[/imgbig]

[alcd]

הקפצה קטנה
המצב היום (מוזמנים להוסיף עוד סקרינשוטים)

לפי הסדר:
הפועלים
לאומי
אמזון
איביי
פייפל

[alcd]

.....

[alcd]

זה בכלל...

[alcd]

ץץץץץץץץץץ

[alcd]

לא כל כך הבנתי למה הרפורטים מוצגים בצורה קצת שונה

אבל בושה לבנקים