چگونه از آسیبپذیری خطرناک Heartbleed نجات یابیم؟
آسیب پذیری Heartbleed، تهدید امنیت شما در هزاران وبسایت
آپدیت:
Heartbleed هنوز چه اهمیتی دارد؟
با وجود اینکه آسیب پذیری Heartbleed در سال ۲۰۱۴ شناسایی و برطرف شد، این اتفاق یک درس مهم برای امنیت سایبری داشت: استفاده از نرم افزار های قدیمی و بروز رسانی نشده میتواند امنیت اطلاعات را به خطر بیندازد. Heartbleed نشان داد که حتی یک نقص در یک کتابخانه رمزنگاری که در بسیاری از سرویس های اینترنتی استفاده میشودد، میتواند پیامدهای گسترده ای داشته باشد. به همین دلیل بررسی نسخه نرم افزارها و نصب بروزرسانی های امنیتی همچنان یکی از مهم ترین اقدامات برای محافظت از سرورها و سرویس های آنلاین است.
امنیت OpenSSL در سال ۲۰۲۶
OpenSSL همچنان یکی از مهمترین کتابخانه های مورد استفاده برای برقراری ارتباطات امن در اینترنت است و بعد از Heartbleed نیز آسیب پذیری های امنیتی جدیدی در نسخه های مختلف آن شناسایی و برطرف شده اند. بنابراین استفاده از نسخه های پشتیبانی شده OpenSSL و نصب منظم بروز رسانی های امنیتی اهمیت زیادی دارد. در سال ۲۰۲۶ نیز چندین آسیب پذیری جدید در OpenSSL منتشر شده و نسخه 3.0 این کتابخانه در سپتامبر ۲۰۲۶ به پایان دوره پشتیبانی می رسد. این موضوع اهمیت مهاجرت از نسخه های قدیمی و استفاده از نسخه های جدید و پشتیبانی شده را بیشتر میکند.
مواردی قابل بررسی در چند سال گذشته:
زمانی که رسانهها بهطور گروهی اخبار یک آسیبپذیری را پوشش میدهند بیتردید با مورد خطرناکی سروکار داریم. شناسایی یک آسیبپذیری خطرناک در OpenSSL (یکی بزرگترین از کتابخانههای توابع رمزنگاری در اینترنت) به یکی از خبرهای داغ دنیای امنیت اطلاعات تبدیل شده است. اما بهطور دقیقتر نگاهی به این آسیبپذیری بیندازیم.
به گزارش روابط عمومی گروه آتنا، زمانی که کامپیوتر شما با یک وبسایت ارتباط رمزنگاری شده برقرار میکند، چه گوگل باشد و چه فیسبوک یا یک درگاه پرداخت الکترونیکی، اطلاعات با استفاده از پروتکل SSL/TLS رمزنگاری میشود. بسیاری از سرورهای محبوب اینترنتی برای رمزنگاری اطلاعات از کتابخانه توابع رمزنگاری منبع باز OpenSSL بهره میبرند. اما چندی پیش مسئولان OpenSSL وصلهای را برای رفع یک آسیبپذیری جدی در TLS منتشر کردند و نام آن را Heartbeat گذاشتند؛ این آسیبپذیری ممکن بود تا سقف 64 کیلوبایت از حافظه سرور را در دسترس مهاجمان قرار دهد.
به عبارت دیگر این آسیبپذیری به هر کاربر اینترنتی امکان میدهد تا به حافظه سرور سیستمهایی که به یک نسخه آسیبپذیر از OpenSSL مجهز هستند دسترسی پیدا کند. در بدترین حالت، این قسمت کوچک و ناچیز از حافظه ممکن است حاوی اطلاعات حساسی نظیر شناسه کاربری، رمزعبور یا حتی رمز محرمانهای باشد که سرور مورد نظر برای رمزنگاری اتصال شما از آن استفاده میکند. جالبتر آنکه Heartbleed هیچ ردی از خود بهجا نمیگذارد. بنابراین هرگز با اطمینان نمیتوان قضاوت کرد که یک سرور هک شده یا نه و یا چه اطلاعاتی از آن بهسرقت رفته است.
خوشبختانه OpenSSL این آسیبپذیری را ترمیم کرد، اما خبر بد آنکه وبسایتها و سرویسهای قربانی این آسیبپذیری ممکن است همچنان ترمیم نشده و راه نفوذ هکرها به حافظه سرور آنها کماکان هموار باشد. نگرانکنندهتر آنکه سواستفاده از این آسیبپذیری بسیار ساده بوده و احتمال میرود که این آسیبپذیری از حدود دو سال قبل وجود داشته و ناشناخته مانده بوده است. در این صورت ممکن است گواهی امنیت تعداد زیادی از وبسایتهای پرمخاطب و اطلاعات حساس کاربران از جمله رمزعبور آنها بهسرقت رفته باشد.
راه حل کاربران
برای آنکه مطمئن شوید وبسایتها و سرویسهای اینترنتی محبوب شما در معرض این آسیبپذیری بوده یا نه میتوانید از ابزارهای آنلاین گوناگونی استفاده کنید. از این گذشته باید مطمئن شوید که Heartbleed پیشتر نیز وجود داشته یا نه. PayPal و گوگل از این آسیبپذیری در امان بودهاند اما یاهو، فیسبوک، Flickr، Duckduckgo، LastPass و بسیاری دیگر از سرویسهای تحت وب در معرض این آسیبپذیری قرار داشتهاند. با مراجعه به فهرست وبسایتها میتوانید از آسیبپذیری یا امنیت بسیاری از وبسایتهای پرمخاطب باخبر شوید.
علاوه بر این میتوانید آسیبپذیری هر وبسایتی را با استفاده از این ابزار ساده بسنجید.
اما توصیه میشود بهجای مطالعه فهرست بلندبالای وبسایتهای سالم و آلوده، بهسادگی گذرواژههای خود را در وبسایتهای زیر تغییر دهید و در صورت امکان برای هرکدام یک رمزعبور منحصربهفرد برگزینید:
فیسبوک، اینستاگرم، یاهو، دراپباکس، Pinterest، Tumblr، AWS، Box، Github، IFFT، Minecraft، SoundCloud و Wunderlist.
صاحبان یک وبسایت پس از ترمیم آسیبپذیری میبایست گواهی امنیت جدید وبسایت خود را نیز منتشر کنند. بنابراین گواهی امنیت سرورها را چک کنید و مطمئن شوید که از گواهیهای منتشر شده از 8 آوریل یا پس از آن استفاده میکنید. با انجام این کار از دسترسی مرورگر به گواهیهای امنیت قدیمی و آسیبپذیر جلوگیری میشود. برای چک کردن تاریخ انتشار گواهی امنیت، روی قفل سبزرنگ در نوار آدرس کلیک کنید و در بخش Connection گزینه Information را انتخاب کنید.
اما مهمترین گام پس از ترمیم و بهروزرسانی گواهی امنیت سرورها تغییر گذرواژهها در کوتاهترین زمان ممکن است. با استفاده از فرصت بهدست آمده، مجموعهای از گذرواژههای ساده و مطمئن را برای حسابهای کاربری خود برگزینید که یادآوریشان نیز آسان باشد. با استفاده از ابزار سنجش رمزعبور کسپرسکی میتوانید به سطح امنیت گذرواژههای خود پی ببرید.
منبع : http://blog.kaspersky.com/heartbleed-howto/