Pogrzebanie w szumie: czy Heartbleed rzeczywiście skrzywdził kogoś?

Reklama

Błąd Heartbleed Heartbleed - Co możesz zrobić, aby zachować bezpieczeństwo? Czytaj więcej był przedmiotem wielu prac ręcznych i został nazwany jednym najpoważniejszych naruszeń bezpieczeństwa komputerowego wszechczasów Ogromny błąd w OpenSSL naraża dużą część Internetu na ryzykoJeśli jesteś jedną z osób, które zawsze wierzyły, że kryptografia typu open source jest najbezpieczniejszym sposobem komunikacji online, czeka Cię niespodzianka. Czytaj więcej . Ale niektórzy ludzie nie są przekonani - w końcu kto tak naprawdę skrzywdził Heartbleed? Zgłoszono kilka ataków wykorzystywania Heartbleed do wyrządzenia prawdziwej krzywdy. Jeśli uważasz, że Heartbleed to tylko szum, pomyśl jeszcze raz.

900 SIN skradzionych z kanadyjskiej agencji podatkowej

W Kanadzie atakujący wykorzystał błąd Heartbleed przeciwko Canadian Revenue Agency, przechwytując około 900 numerów ubezpieczenia społecznego (SIN) należących do osób składających podatki dochodowe. Jest to w zasadzie kanadyjski odpowiednik osoby atakującej przechwytującej numery ubezpieczenia społecznego (SSN) z IRS w USA. Niektóre dane dotyczące kanadyjskich przedsiębiorstw również zostały skradzione.

Atakujący został aresztowany za przechwycenie tych liczb, ale nie wiemy, czy atakujący sprzedał SIN, czy przekazał je komuś innemu. Podobnie jak numery ubezpieczenia społecznego w Stanach Zjednoczonych, liczb tych na ogół nie można zmienić - można je zmienić tylko wtedy, gdy udowodnisz, że padłeś ofiarą oszustwa. Poszkodowani podatnicy będą musieli zapisać się do usługi monitorowania kredytu i śledzić osoby próbujące otworzyć konta bankowe i karty kredytowe w ich imieniu. Kradzież tożsamości 6 znaków ostrzegawczych przed kradzieżą tożsamości cyfrowej, której nie powinieneś ignorowaćKradzież tożsamości nie jest obecnie zbyt rzadkim zjawiskiem, ale często wpadamy w pułapkę myślenia, że ​​zawsze zdarzy się to „komuś innemu”. Nie ignoruj ​​znaków ostrzegawczych. Czytaj więcej jest poważnym problemem tutaj.

Mumsnet i inne kradzieże haseł

Mumsnet ogłosił niedawno, że zmusza wszystkich użytkowników do zmiany haseł. To nie był tylko środek zapobiegawczy - Mumsnet miał powody, by w to wierzyć napastnicy uzyskali dostęp do haseł i prywatnych wiadomości należące do 1,5 miliona użytkowników.

Prawdopodobnie nie jest to jedyna witryna, na której skradziono poufne hasła. Jeśli ludzie są popełnienie wielkiego błędu polegającego na ponownym użyciu tego samego hasła na wielu stronach internetowych Podręcznik zarządzania hasłamiNie czuj się przytłoczony hasłami lub po prostu używaj tego samego na każdej stronie, aby je zapamiętać: zaprojektuj własną strategię zarządzania hasłami. Czytaj więcej , atakujący może dostać się na inne konta. Na przykład, jeśli ktoś używa tego samego hasła zarówno do swojego konta Mumsnet, jak i konta e-mail powiązanego z kontem Mumsnet, osoba atakująca może uzyskać dostęp do tego konta e-mail. Stamtąd atakujący może zresetować inne hasła i uzyskać dostęp do innych kont

Jeśli otrzymałeś wiadomość e-mail z serwisu z zaleceniem zmiany hasła i upewnienia się, że nie używasz tego samego hasło w innym miejscu, możliwe, że usługa została skradziona lub może zostać skradziona i nie jest pewnie.

Porwanie VPN i kradzieże kluczy prywatnych

Firma ochroniarska Mandiant ogłosiła to osoby atakujące wykorzystały Heartbleed do naruszenia wewnętrznej korporacyjnej sieci VPNlub wirtualna sieć prywatna należąca do jednego z ich klientów. VPN był używany uwierzytelnianie wieloskładnikowe Co to jest uwierzytelnianie dwuskładnikowe i dlaczego warto z niego korzystaćUwierzytelnianie dwuskładnikowe (2FA) to metoda bezpieczeństwa, która wymaga dwóch różnych sposobów potwierdzenia tożsamości. Jest powszechnie stosowany w życiu codziennym. Na przykład płacenie kartą kredytową wymaga nie tylko karty, ... Czytaj więcej , ale to nie miało znaczenia - atakujący był w stanie ukraść prywatne klucze szyfrujące z urządzenia VPN za pomocą ataku Heartbleed, a następnie mógł przejąć aktywację sesji VPN.

Nie wiemy, która korporacja została tu zaatakowana - Mandiant właśnie ogłosił, że jest to „major Korporacja." Tego rodzaju ataki można wykorzystać do kradzieży poufnych danych firmowych lub zainfekowania wewnętrznego sieci korporacyjne. Jeśli korporacje nie upewnią się, że ich sieci nie są narażone na atak Heartbleed, ich zabezpieczenia można łatwo ominąć.

Jedyny powód, dla którego o tym słyszymy, to fakt, że Mandiant chce zachęcić ludzi do zabezpieczenia swoich Serwery VPN Najlepsze usługi VPNZebraliśmy listę najlepszych dostawców usług wirtualnej sieci prywatnej (VPN), pogrupowanych według kategorii premium, darmowych i przyjaznych dla torrentów. Czytaj więcej . Nie wiemy, która korporacja została zaatakowana tutaj, ponieważ korporacje nie chcą ogłosić, że zostały przejęte.

To nie jedyny potwierdzony przypadek użycia Heartbleed do kradzieży prywatnego klucza szyfrowania z pamięci uruchomionego serwera. CloudFlare wątpił, aby Heartbleed mógł zostać wykorzystany do kradzieży prywatnych kluczy szyfrujących, i podjął wyzwanie - spróbuj uzyskać prywatny klucz szyfrujący z naszego serwera, jeśli możesz. Kilka osób uzyskało klucz prywatny w ciągu jednego dnia.

Państwowe agencje nadzoru

Kontrowersyjnie błąd Heartbleed mógł zostać wykryty i wykorzystany przez państwowe agencje nadzoru i wywiadu, zanim stał się znany opinii publicznej. Bloomberg to zgłosił NSA wykorzystuje Heartbleed od co najmniej dwóch lat. The NSA i Biały Dom temu zaprzeczyły, ale dyrektor wywiadu narodowego James Clapper powiedział, że NSA nie zebrała żadnych danych na temat milionów Amerykanów, zanim ujawniono działania nadzorcze NSA, coś teraz wiemy, że to nieprawda Co to jest PRISM? Wszystko co musisz wiedziećNarodowa Agencja Bezpieczeństwa w USA ma dostęp do wszelkich danych, które przechowujesz u amerykańskich dostawców usług, takich jak Google Microsoft, Yahoo i Facebook. Prawdopodobnie monitorują też większość ruchu przepływającego przez ... Czytaj więcej . My też to wiemy NSA gromadzi luki w zabezpieczeniach do wykorzystania przeciwko celom nadzoru zamiast zgłaszania ich, aby można je było naprawić.

Poza NSA istnieją na świecie inne agencje nadzoru państwowego. Możliwe, że państwowa agencja nadzoru innego kraju wykryła ten błąd i wykorzystała go przeciwko celom inwigilacji, być może nawet amerykańskim korporacjom i agencjom rządowym. Nic nie wiemy na pewno, ale bardzo możliwe, że Heartbleed został użyty do szpiegostwa działania, zanim zostały publicznie ujawnione - z pewnością będą wykorzystywane do tych celów teraz, gdy są publiczne wiedza, umiejętności!

Po prostu nie wiemy

Po prostu nie wiemy, ile szkód wyrządził Heartbleed. Firmy, które kończą się naruszeniami dzięki Heartbleed, często będą chciały uniknąć zawstydzających ogłoszeń, które mogłyby zaszkodzić ich działalności lub uszkodzić ceny akcji. Zasadniczo łatwiej jest poradzić sobie z problemem wewnętrznie, niż poinformować świat.

W wielu innych przypadkach usługi nie wiedzą, że zostały ugryzione przez Heartbleed. Dzięki rodzajowi żądania, które wykorzystuje luka Heartbleed, ataki Heartbleed nie pojawią się w wielu dziennikach serwera. Nadal będzie się pojawiał w dziennikach ruchu sieciowego, jeśli wiesz, czego szukać, ale nie każda organizacja wie, czego szukać.

Możliwe jest również, że błąd Heartbleed był wykorzystywany w przeszłości, zanim stał się znany publicznie. Możliwe, że cyberprzestępcy lub - co bardziej prawdopodobne - państwowe agencje nadzoru wykryły błąd i go wykorzystują. Przykłady tutaj są tylko migawką kilku rzeczy, które wiemy.

Ten szum jest uzasadniony - ważne jest, aby jak najszybciej aktualizować usługi i urządzenia, aby zmniejszyć szkody i uniknąć gorszych ataków w przyszłości.

Źródło zdjęcia: snoopsmas na Flickr, ChrisDag na Flickr