Vi er for tiden travlt beskæftigede med at imødegå den kritiske sikkerhedssituation, som offentliggørelsen af Heartbleed-sårbarheden i OpenSSL-kodebiblioteket har medført.
Heartbleed-sårbarheden giver mulighed for, at man, med ganske simple redskaber, kan iværksætte angreb på servere beskyttet af almindelig kryptering (SSL/TLS/HTTPS), som så vil udlevere store mængder fortrolige data fra disse servere. Dette være sig brugernavne, adgangskoder, krypteringsnøgler og meget andet.
Det er lidt uvist, hvor mange servere, der på verdensplan er berørt af denne sårbarhed, men det anslås, at ca. 17-18% af de servere, som benytter sig af kryptering med OpenSSL. Analyseorganisationen Netcraft anslår dette til ca. 500.000 sites verden over, inklusive nogle højt profilerede, såsom Yahoo.
En meget anerkendt sikkerhedsekspert, Bruce Schneier, beskriver situationen således:
Basically, an attacker can grab 64K of memory from a server. The attack leaves no trace, and can be done multiple times to grab a different random 64K of memory. This means that anything in memory – SSL private keys, user keys, anything – is vulnerable. And you have to assume that it is all compromised. All of it.
Vi hjælper vores kunder med at risikovurdere og sikre de af deres systemer, som de selv administrerer, men som de ikke har tilgængelige ressourcer til selv at patche. Kontakt os gerne telefonisk på 7023 1044, hvis du/I har brug for hjælp med at imødegå truslen fra Heartbleed.
Du kan læse mere om Heartbleed på bl.a. følgende sites:
- http://heartbleed.com/
- https://www.schneier.com/blog/archives/2014/04/heartbleed.html
- http://news.netcraft.com/archives/2014/04/08/half-a-million-widely-trusted-websites-vulnerable-to-heartbleed-bug.html
- http://arstechnica.com/security/2014/04/critical-crypto-bug-exposes-yahoo-mail-passwords-russian-roulette-style/
