همه چیز درباره خطرناک‌ترین حفره امنیتی سال

خونریزی قلبی را جدی بگیرید

مریم عسگری آلودگی سایت‌ و سرویس‌های مشهور توسط یک حفره‌ امنیتی با نام Heartbleed بحث داغ هفته گذشته فضای مجازی بود. این حفره امنیتی بسیاری از سایت‏ها و سرویس‏های مشهور نظیر یاهو، جی‌میل و. . . را آلوده کرده و گفته می‏شود میلیون‏ها حساب کاربری را در سراسر جهان را در معرض خطر قرار داده است. به همین دلیل کارشناسان به کاربران سایت‌ها و شبکه‌های اجتماعی توصیه کرده‌اند که برای تغییر پسورد حساب کاربری خود اقدام کرده و مراقب نقل و انتقالات مشکوک مالی در حساب‏های خود باشند. در پی انتشار این خبر و توصیه‌های کارشناسان، بسیاری از کاربران نسبت به تغییر پسورد خود اقدام کردند؛ اما گروهی این خطر را جدی نگرفته‌اند.

مریم عسگری آلودگی سایت‌ و سرویس‌های مشهور توسط یک حفره‌ امنیتی با نام Heartbleed بحث داغ هفته گذشته فضای مجازی بود.

این حفره امنیتی بسیاری از سایت‏ها و سرویس‏های مشهور نظیر یاهو، جی‌میل و... را آلوده کرده و گفته می‏شود میلیون‏ها حساب کاربری را در سراسر جهان را در معرض خطر قرار

داده است. به همین دلیل کارشناسان به کاربران سایت‌ها و شبکه‌های اجتماعی توصیه کرده‌اند که برای تغییر پسورد حساب کاربری خود اقدام کرده و مراقب نقل و انتقالات مشکوک مالی در حساب‏های خود باشند. در پی انتشار این خبر و توصیه‌های کارشناسان، بسیاری از کاربران نسبت به تغییر پسورد خود اقدام کردند؛ اما گروهی این خطر را جدی نگرفته‌اند. با توجه به اهمیت این موضوع در این مطلب ما به معرفی این حفره امنیتی و مشکلات ناشی از رخنه «خونریزی قلبی» به حساب‌های کاربری کاربران را می‌پردازیم.

ضعف امنیتی Heartbleed چیست؟

آسیب پذیری CVE-۲۰۱۴-۰۱۶۰ که به نام Heart bleed شهرت یافته و به صورت گسترده‌ای جهان وب را تحت تاثیر خود قرار داده است به هر فردی که به اینترنت دسترسی دارد، اجازه می‌دهد به اطلاعات مختلفی مانند رمزهای عبور یا دیگر اطلاعات حیاتی و حساس دیگر کاربران دسترسی یابد. چنانچه برخی با استفاده از این حفره امنیتی اعلام کرده‌اند، به صدها رمز عبور یاهو دسترسی یافتند.

این مشکل، در نرم‌افزار متن باز به نام OpenSSL که به‌طور گسترده برای رمزگذاری ارتباطات وب سایت‌ها به کارگرفته می‌شود، کشف شد. Heartbleed به آشکار ساختن محتویات حافظه سرور که محل ذخیره سازی اطلاعات مهم و خصوصی مانند نام‌های کاربری، کلمات عبور و شماره کارت اعتباری است قادر است.

قدرت تخریب این آسیب‌پذیری به قدری است که هکر را قادر می‌سازد تا یک کپی از کلیدهای دیجیتالی سرور را تهیه و از آن برای جعل هویت سرویس‌دهنده یا برای رمزگشایی ارتباطات گذشته یا ارتباطات بالقوه در آینده استفاده کند. تمام اطلاعات یک کاربر که در وب موجود است مانند رمزهای ایمیل، رمزهای بانکی و... در معرض سرقت هستند و این در شرایطی است که اگر سرویس‌دهنده‌های اینترنتی سرورهای خود را به‌روز نکنند خطر، داده‌های کاربران را تهدید می‌کند.

Heartbleed برای اولین بار هشتم آوریل یا نوزدهم فروردین در سایت رسمی OpenSSL تحت نام رسمی CVE-۲۰۱۴-۰۱۶۰ معرفی شد. این حفره امنیتی به‌دلیل اینکه مشکل اصلی در ماژول Heartbleed از OpenSSL رخ داده به نام خونریزی قلبی نیز نام‌گذاری شده است و لوگویی نیز با الهام از این عنوان برایش طراحی شده است.

این آسیب‌پذیری هنگام پیاده‌سازی پروتکل TLS کشف شد که موجب می‌شود سرورهایی که از ارتباط‌های امن برای برقراری ارتباط خود بهره می‌برند، آسیب‌پذیر شوند. این تمام ارتباط‌ها از طریق imap و https, smtp و همچنین ارتباط‌های امنی را که از طریق VPN و SSH می‌شوند، در برمی‌گیرد. نکته نگران کننده اینجاست که ارتباط‌های امن بانکی نیز در امان نخواهند بود.

Heartbleed به هر کاربری اجازه می‌دهد در ارتباط دوسویه امن از طریق TLS بتوانند ۶۴KB از حافظه رایانه مقابل را مورد خوانش قرار دهد؛ به این ترتیب با تکرار این عمل مقدار اطلاعات بیشتری از حافظه قابل استخراج خواهد بود. این اطلاعات می‌تواند کلیدهای رمزنگاری یا رمزهای عبور و هر نوع دیتا و اطلاعات کاربر را در برگیرد.

به‌روزرسانی هرچه سریعتر سایت‌های آلوده، از راه‌های مقابله با این آسیب‌پذیری است. از آنجایی که امکان سرقت هرگونه اطلاعات در مدتی که این حفره امنیتی برای عموم ناشناس بود، وجود دارد؛ تغییر رمزهای عبور نیز پیشنهاد می‌شود. از سوی دیگر گروهی از کارشناسان معتقدند باید certificate مورد نیاز سایت‌های https دوباره ساخته شوند که با وجود دشواری، انجام چنین اقدامی برای تضمین امنیت ضروری به نظر می‌رسد. تاکنون اغلب سایت‌ها و سرورهای بزرگ دنیا نسبت به رفع این آسیب‌پذیری اقدام کرده‌اند.

معرفی سایت‌های آلوده

بسیاری از سایت‏های مشهور از جمله یاهو و گوگل تحت تاثیر این حفره امنیتی قرار گرفته‌اند.

با این حال این فقط شرکت‌های تکنولوژی نیستند که تحت تاثیر این مشکل امنیتی قرار دارند، تمامی بانک‏ها و سایت‏های مالی و تجاری نیز در ریسک قرار دارند. از میان سایت‏ها و سرویس‏های آلوده شده می‏توان به اینستاگرام، Pinterest، تامبلر، گوگل، یاهو، جی‏میل، ایمیل‏یاهو، سرویس‏های آمازون و Godaddy اشاره کرد.

گفته شده این حفره بسیار مهم و جدی است و به گفته شرکت تحقیقاتی Netcraft تاکنون ۵۰۰ هزار سرور را در سراسر جهان تحت تاثیر قرار داده است، اما کاربران در مقابل چنین حفره‏ای چه باید بکنند؟

سایت و شرکت‌هایی که آلوده نشده‌اند

اگرچه بسیاری از سایت‌‌های مطرح به Heartbleed آلوده شده‌اند، اما برخی از شرکت‌ها اعلام کرده‌اند خطری آنها و کاربرانشان را تهدید نمی‌کند.

Apple اعلام کرده است؛ios و xos به هیچ عنوان تحت تاثیر «خونریزی قلبی» قرار نگرفته‌اند. همچنین Amazon و Microsoft اعلام کرده‌اند این حفره امنیتی آنها را درگیر خود نکرده است. بر اساس اعلام Microsoft علت عدم تاثیر Heartbleed روی آن عدم استفاده از OpenSSL است.

در میان شبکه‌های اجتماعی نیز Linkedin اعلام کرده است که این مشکل امنیتی کوچک‌ترین تاثیری بر آن نگذاشته است.

Twitter اما اعلام کرده است با وجودی که از OpenSSL استفاده می‌کند دچار مشکل نشده است و تمام نکات امنیتی را در نظر گرفته است.

چگونه دچار خونریزی قلبی می‌شویم؟

عمده الگوریتم‌ها و روش‌های کد کردن اطلاعات دارای یک کلید رمز مشترک قابل شناسایی بین کاربر و سرویس‌دهنده است که به واسطه آن، اطلاعات در سمتی رمزگذاری و در طرف مقابل رمزگشایی می‌شوند.

حال این حفره امنیتی، به سادگی اطلاعات موجود در حافظه سرور (RAM) را که حاوی کلید‌های رمزگذاری و رمزگشایی به همراه اطلاعات خامی مانند نام کاربری و رمز عبور و … است را در اختیار هکرها در هرکجای دنیا گذاشته تا علاوه‌بر دسترسی به اطلاعات خامی که به آنها اشاره شد، با داشتن کلید‌های کدگذاری بتوانند تمام اطلاعات تبادلی میان کامپیوتر شما و سرویس‌دهنده را به سادگی شنود یا حتی با هویت شما اطلاعات دلخواهی را به سرویس‌دهنده ارسال کند.

اگرچه وسعت حمله‌های احتمالی هنوز مشخص نشده، اما این حفره می‌تواند تهدید بسیار بزرگ‌تری برای آن دسته از افرادی باشد که از رمز عبورهای یکسان در سایت‌های مختلف استفاده می‌کنند؛ چرا که با داشتن رمز عبور یک سایت بی‌اهمیت و نه‌چندان کاربردی، می‌توان به اطلاعات حساس یک سایت دیگر دسترسی پیدا کرد.

بدون دسترسی به این کلید، امکان اینکه شخص ثالثی در میان مسیر تبادلی اطلاعات بتواند از محتوای اطلاعات مبادلاتی مطلع شود بسیار ناچیز است. در حالت عادی این کلید به‌طور اختصاصی بر روی کامپیوتر کاربرها و سرویس‌دهنده (سایت‌ها و برنامه‌هایی که از آنها استفاده می‌کنیم) تعریف و نگهداری شده و اطلاعاتی که در میان راه وجود دارند عبارتی بی‌معنی مانند A۷۶۵&۵as۴۶۵*۶۸$۷۶۵۴۸۶۷۴&f۸^RX۷e۸td۸ است که بدون داشتن آن کلید امکان رمزگشایی وجود ندارد.

راهکارهای امنیتی

موثرترین اقدام پس از برطرف شدن ریشه مشکل از طرف سرویس‌دهندگان اینترنتی و وب‌سایت‌ها به‌روزرسانی نرم‌افزار سرویس OpenSSL آن است که در اسرع وقت و برای پیشگیری از هر نوع مشکلی، تمامی رمز‌های عبور خود را در سایت‌های آسیب دیده تغییر دهید.

از آنجایی که نمی‌توان با قاطعیت به اینکه چه سایت‌ها و سرویس‌هایی از Heartbleed آسیب دیده‌اند، پی برد، توصیه می‌شود تمام رمز‌ها یا حتی‌الامکان رمز‌های مربوط به سایت‌ها و سرویس‌هایی که اطلاعات شخصی شما را در بر دارند یا دارای اهمیت بیشتری برایتان است را تغییر دهید. همچنین تا جای ممکن از سایت‏هایی که از شما اتصال به اکانت (ایمیل، شبکه اجتماعی و...) را می‏خواهند وارد اکانت خود نشوید. حتی بعضی از سایت‏های مهم مثل Yahoo هم آلوده شده‏اند، هرچند بعدا گفته‏اند که مشکلات امنیتی را رفع کرده‏اند.

علاوه‌بر این، توصیه می‌شود اگر اطلاعات خود را در شرکت گمنام یا کوچکی ذخیره کرده‏اید از امنیت اطلاعات خود مطمئن شوید.

این بسیار مهم است که اطلاعات مالی خود را مرتبا چک کنید تا از هر تغییر مشکوکی در آن سریعا با خبر شوید. حتی به‌رغم همه این مراقبت‏ها شما همچنان در معرض و ریسک آلوده‌شدن و تحت تاثیر قرار گرفتن این حفره امنیتی قرار دارید. گفته شده این حفره امنیتی کوکی‏های مرورگرهای اینترنتی را هم تحت تاثیر قرار می‏دهد. به همین دلیل سایت‏های آلوده را به هیچ عنوان با مرورگر خود باز نکنید.

نکته

کاربران سرویس‏های فیس‌بوک، گوگل، Gmail، اینستاگرام و توییتر در معرض تهدید حفره امنیتی «خونریزی قلبی» قرار گرفته‏اند.

اپل، آمازون، مایکروسافت، لینکدین و توییتر اعلام کرده‌اند تحت تاثیر «خونریزی قلبی » قرار نگرفته‌اند.

این حفره بسیار مهم و جدی است و به گفته شرکت تحقیقاتی Netcraft تاکنون ۵۰۰ هزار سرور را در سراسر جهان تحت تاثیر قرار داده است.