Linux E X P R E S

Facebook

Heartbleed stále hrozbou – nápravná opatření jsou prováděna nedůsledně

Hrozba

Podle průzkumu firmy Netcraft bylo u mnoha serverů zanedbáno důsledné a správné provedení všech kroků, které bylo potřeba provést po odhalení chyby Heartbleed.


Firma Netcraft zkoumala situaci na poli SSL/TLS certifikátů měsíc po odhalení chyby v OpenSSL, která je označována jako Heartbleed Bug. Vzhledem k tomu, že bylo kvůli chybě možné získat soukromý klíč serveru, je kromě aktualizace knihovny potřeba také vygenerovat nový pár klíče a certifikátu, starý certifikát potom revokovat. Zkoumání však ukázalo, že situace „v terénu“ není příliš dobrá.

Celý 57 % serverů postižených chybou běží stále s původními certifikáty. U pouhých 20 % z postižených serverů bylo revokován původní certifikát, takže zde stále hrozí MITM útok na komunikaci. V případě 7 % serverů byl sice vygenerován nový certifikát (z toho u 5 % byl původní certifikát revokován, u 2 % nikoli – v tomto případě to však prakticky nehraje roli), ale klíč zůstal původní a tedy se tím situace nijak nevylepšila.

Tento problém byl odhalen například i u Société de l'assurance automobile du Québec, což je vládní společnost této kanadské provincie zabývající se mj. agendou okolo řidičských průkazů a registrace vozidel. Část odpovědnosti leží i na příslušné certifikační autoritě, která i přes uvedení důvodu revokace „keyCompromise“ podepsala certifikát vydaný ke zkompromitovanému klíči.

Diskuze (2) Nahoru