کابوس هارت‌بلید و خطر جدی آن برای کاربران

9

در بعد از ظهر روز دوشنبه ۸ آوریل ۲۰۱۴ جامعه آی‌تی با یک شوک امنیتی عظیم روبرو شد. در این روز باگی با نام Heartbleed توسط تیم امنیتی گوگل و شرکت امنیتی Codenomicon کشف شد که سرورهایی که تحت پروتکل امنیتی OpenSSL قرار دارند همچون Airbnb, پینترست، ناسا و بسیاری دیگر را در معرض خطر امنیتی جدی قرار داد.
این باگ ظاهرا تنها در اثر یک اشتباه در کدنویسی OpenSSL ایجاد شده است. به دلیل محبوبیت پروتکل متن باز OpenSSL بسیاری از وب سایت‌ها (حدود ۵۶٪ کل وب‌سایت‌ها) برای حفظ امنیت خود از این پروتکل استفاده می‌کنند و با وجود باگ هارت‌بلید احتمالا حدود نصف آنها مبتلا باشند که در این صورت با وارد شدن به حساب کاربری خود در یکی از این سایت‌ها تمام اطلاعات شما همچون پسوردها، اطلاعات کارت اعتباری، ایمیل‌ها و حتی متن چت خود را در معرض دزدیده شدن قرار داده اید.
خبر بد این است که به احتمال بسیار زیاد شما نیز به طور مستقیم یا غیر مستقیم در معرض خطر این باگ امنیتی خطرناک قرار دارید متاسفانه در حال حاضر کار زیادی از دست شما برای حفظ امنیت برنمی‌آید. چرا که در ابتدا باید شرکت‌های آلوده به این باگ اقدام به رفع باگ مربوطه کند. چیزی که هنوز به طور قطع مشخص نشده است. و سپس سریعا نسبت به تغییر کلمات عبور خود اقدام نمایید. اما خوشبختانه هنوز هیچ هکری موفق به نفوذ در این حفره امنیتی نشده است.

اجازه دهید کمی عمیق‌تر در مورد مفهوم امنیت در اینتنرت، حفره امنیتی هارت‌بلید و خطر جدی آن صحبت کنیم.

امنیت در اینترنت و خطر ضد امنیتی Heartbleed

تامین امنیت در اینترنت حال حاضر به وسیله رمزگذاری به روی اطلاعات تامین شده است. این بدین معناست که اطلاعات ارسالی توسط شما به شخص یا یک سرور دیگر محفوظ و غیر قابل خواندن توسط شخص سوم باشد. با رشد روز افزون جمعیت کاربران در اینترنت، حفظ امنیت اطلاعات شخصی اهمیت بیشتری پیدا کرده است. رمز نگاری اطلاعات مانند این است که ۲ شخص به زبان رمزی خاصی با یکدیگر صحبت می‌کنند و با توجه به راهنمای رمزگشایی که فقط نزد این ۲ نفر است، اقدام به ترجمه صحبت‌ها می‌کنند. در فضای اینترنت نیز این رمزنگاری‌ها توسط پروتکل‌های امنیتی SSL/TLS انجام می‌گردد.
OpenSSL یکی از سرویس‌های رایگان و متن باز محبوب است که وب سرورهایی همچون Apache و Nginx نیز از آن استفاده می‌کنند. نه تنها اپلیکیشن‌ها و وبسایت‌ها بلکه بسیاری از سرویس‌های ایمیل، کلاینت‌های گفتگوی مستقیم کاربران، روترهای شبکه و حتی پرینترها نیز از OpenSSL استفاده می‌کنند. حدود ۶۶ درصد کل دنیای اینترنت تحت امنیت OpenSSL قرار دارد و این یعنی تمام اطلاعات رد و بدل شده از جمله متن، عکس، کلمات عبور و غیره و غیره تحت سایه OpenSSL عبور می‌کند.

اما چرا Heartbleed کابوس نامیده شده است؟

تا اینجای کار متوجه اهمیت و فراگیر بودن OpenSSL شدیم. حالا تصور کنید این غول امنیتی به طور ناگهانی دارای یک حفره امنیتی شده است. ایرادی که به افراد اجازه دسترسی به کلید رمزگشایی اطلاعات امن در حال عبور از OpenSSL را می‌دهد. با استفاده از این حفره امنیتی شخص خرابکار می‌تواند از تمام اطلاعات یک نسخه کپی برای خود تهیه کند و یا آنها را منتشر کند.

این همان Heartbleed است. حفره امنیتی خطرناکی که متاسفانه از حوالی دسامبر ۲۰۱۱ وجود داشته و حتی در نسخه ۲۰۱۲ OpenSSL نیز برطرف نشد. بنابراین هرگونه اپلیکیشن، وبسایت، بانک و هرگونه سرویس دیگر که طی این ۲ سال از OpenSSL استفاده کرده باشد دچار این حفره امنیتی است. ضمن اینکه ۲ سال زمان بسیاری برای سواستفاده از این حفره امنیتی است و معلوم نیست چه مقدار از اطلاعات در دسترس بوده است. دلیل نامیدن این حفره امنیتی به عنوان یک کابوس نیز همین است.

اما نکته مهم این است که تمام سرویس‌های اینترنتی از OpenSSL استفاده نمی‌کنند و همچنین این احتمال وجود دارد که نسخه‌های ماقبل ۲۰۱۱ OpenSSL دارای این حفره امنیتی نیستند. اما متاسفانه تا اینجای کار بسیاری از سرویس‌های محبوب اینترنتی از نسخه آسیب پذیر آن استفاده می‌کنند.

اکنون برای حفظ امنیت چه باید کرد؟

در ابتدا توصیه شده در صورتی که امنیت برای شما اهمیت فوق العاده‌ایی دارد در این هفته اینترنت را ترک کنید تا تمام وب سایت‌ها اقدام به رفع این باگ کنند. اما در غیر این صورت در این لینک لیست سایت‌های آلوده را مشاهده کرده و یا از طریق سرویس Heartbleed Checker شرکت لست‌پس وب سایت مورد استفاده خود را کنترل نمایید. با وارد کردن آدرس سایت و مشاهده پیغام سبز رنگ Now Safe که مربوط به امنیت کامل سایت است، سریعا اقدام به تغییر تمام پسوردها و اطلاعات امنیتی موجود در آن سرویس نمایید. در غیر اینصورت از تغییر هرگونه اطلاعاتی دست نگه دارید و ترجیحا هیچ استفاده ایی از وب سایت مربوطه نکنید تا تعمیرات SSL اعمال شود.

سایت‌هایی نظیر یاهو و OKCupid که حاوی اطلاعات شخصی بسیاری از کاربران هستند سریعا اقدام به رفع این حفره امنیتی کرده‌اند پس کاربران تمام سرویس‌های این دو سایت (مانند فلیکر، ایمیل یاهو و غیره) اقدام به تغییر کلمه کاربری خود نمایند. سایت‌های گوگل، توییتر و فیسبوک به طور قطع مشخص نشد که آلوده به این حفره امنیتی هستند یا خیر ولی برای امنیت بیشتر، پروتکل امنیتی SSL خود را به روز کردند و از کاربران خواستند کلمه عبور خود را تغییر دهند.

سردبیر مشیبل آقای Lance Ulanoff نیز در این رابطه به سوالات تعدادی از کاربران در فیسبوک پاسخ داده که مطالعه آن را توصیه می‌کنیم :

هارت‌بلید چیست؟

هارت‌بلید یک حفره امنیتی موجود در میلیون‌ها وب‌سایت است که به هکرها اجازه دسترسی به اطلاعات رمزنگاری شده بین شما و سرور را می‌دهد. این یعنی اطلاعات موجود در آن سرورها قابل دزدیده شدن هستند.

آیا این صرفا یک تهدید اینترنتی است؟

بله تنها در اینترنت و سایت‌هایی که از OpenSSL استفاده می‌کنند.

آیا هارت‌بلید یک ویروس است؟

نه کاملا. این فقط یک حفره است که وب‌سایت‌ها و اطلاعات کاربر را در معرض حمله قرار می‌دهد.

پس چرا تا به حال کشف نشده بود؟

این مورد تنها یک اشتباه در کدنویسی بوده و در اثر حمله ایجاد نشده است. به نظر می‌رسد در اثر یک تصادف ناشی از کدنویسی اشتباه سازندگان OpenSSL ایجاد شده است.

لیستی از سایت‌هایی که از OpenSSL استفاده می‌کنند، وجود دارد؟

میلیون‌ها وبسایت هستند که از OpenSSL استفاده می‌کنند و عملا ایجاد لیست آنچنان ساده نیست. اما کمپانی لست‌پس ابزاری را برای بررسی سایت‌های مشکوک به این حفره را ایجاد کرده است.

چه زمانی باید اقدام به تعویض کلمات عبور خود نماییم؟

تغییر کلمه عبور در حال حاضر کار بیهوده‌ایی است چرا که امکان دزدیده شدن پسورد جدید نیز وجود دارد.

برای تامین امنیت وب‌سایت خود چه اقدامی باید انجام دهم؟

در صورتی که از OpenSSL استفاده می‌کنید در اسرع وقت بروزرسانی جدید را انجام دهید.

آیا هارت‌بلید فایروال‌ها را نیز تحت تاثیر قرار داده است؟

این مورد یک حمله به فایروال‌ها محسوب نمی‌شود. بلکه در صورت وجود این آسیب‌پذیری (روی سایت یا سرویس) ارتباط مابین شما و آن حفره به سادگی انجام می‌پذیرد.

وضعیت امنیت اینترنت در حال حاضر به چه صورت است؟

هم اکنون در وضعیت امن است.

آیا شما معتقدید این حفره امنیتی به طریقی به NSA مربوط باشد؟

خیر

منابع : (+ و + و + و +)


اگر خواننده جدید سایت «یک پزشک»  هستید!
شما در حال خواندن سایت یک پزشک (یک پزشک دات کام) به نشانی اینترنتی www.1pezeshk.com هستید. سایتی با 18 سال سابقه که برخلاف اسمش سرشار از مطالب متنوع است!
ما را رها نکنید. بسیار ممنون می‌شویم اگر:
- سایت یک پزشک رو در مرورگر خود بوک‌مارک کنید.
-مشترک فید یا RSS یک پزشک شوید.
- شبکه‌های اجتماعی ما را دنبال کنید: صفحه تلگرام - صفحه اینستاگرام ما
- برای سفارش تبلیغات ایمیل alirezamajidi در جی میل یا تلگرام تماس بگیرید.
و دیگر مطالب ما را بخوانید. مثلا:

اگر سلبریتی‌های کنونی در دوران ویکتوریایی می‌زیستند …

پس از ویلیام چهارم، که خود جانشین جرج چهارم بود، در ۱۸۳۷، ملکه ویکتوریای ۱۸ساله به تخت نشست. دوران ۶۴سالهٔ سلطنت او در تاریخ انگلستان به «عصر ویکتوریا» شهرت دارد، که همزمان با به‌اوج‌رسیدن گسترهٔ امپراتوری بریتانیا در سطح جهان بود.اما…

هوش مصنوعی نشان می‌دهد که سلبریتی‌ها در دهه‌های بعد چگونه به نظر می‌رسند

یک عکاس از هوش مصنوعی برای ایجاد مجموعه‌ای از پرتره‌ها استفاده کرده که نشان می‌دهند برخی از سلبریتی‌ها ممکن است چند دهه آینده چه چهره‌ای پیدا کنند. عکاس و وکیل ترکیه‌ای به نام Alper Yesiltas این پروژه رو انجام داده. او به دلیل کارهای…

این عکس‌ها را ببینید تا تصدیق کنید که افسوس‌ها (حسادت‌های) اینستاگرامی ما بسیار اوقات درست نیستند!

هر کسی ممکن است طور خاصی از اینستاگرام استفاده کند. یکی صفحات خبری را دنبال می‌کند، دیگری بیشتر صفحات کاری یا سرگرمی را. یکی به اخبار و عادات سلبریتی‌ها علاقه دارد و برخی‌ها هم همه آشنایان و اعضای خانواده و دوستان قدیم و جدید را دنبال…

عکس‌های ساده‌ای که به خاطر پرسپکتیو و زاویه دید، گیج‌کننده و تفکربرانگیز شده‌اند!

زاویه دید خیلی مهم است. این موضوع در زندگی هم صادق است. ما گاهی عادت نگاه کردن از یک زاویه دید خاص و گسترده نکردن نگاه خود را پیدا می‌کنیم و در نتیجه برداشت خیلی عجیبی از چیزهای ساده می‌کنیم. این طوری می‌شود که کارهایمان اشتباه از آب…

عکس‌هایی که به ما جلوه‌ای عجیب و جالب از دوره ویکتوریایی و ادواردین در انگلیس می‌دهند

دورهٔ ویکتوریا یا دورهٔ ملکه ویکتوریا، که گاهی دورهٔ ویکتوریایی نیز گفته می‌شود، دورهٔ اوج انقلاب صنعتی در بریتانیا و اوج امپراتوری بریتانیا بود.پس از ویلیام چهارم، که خود جانشین جرج چهارم بود، در ۱۸۳۷، ملکه ویکتوریای ۱۸ساله به تخت…

۲۰ برنده عکاسی از طبیعت در سال ۲۰۲۲ در مسابقه عکاسی IPA

جوایز بین المللی عکاسی (IPA) در سال 2022 بار دیگر از مجموعه‌ای خیره کننده از عکس های طبیعت پرده‌برداری کرد که قلب و ذهن بینندگان در سراسر جهان را تسخیر کرده است. این تصاویر برنده استثنایی ما را به قلمروهای مسحورکننده طبیعت منتقل می‌کنند،…
آگهی متنی در همه صفحات
دکتر فارمو / شیشه اتومبیل / نرم افزار حسابداری / خرید سیلوسایبین / هوش مصنوعی / قیمت وازلین ساج / مقاله بازار / شیشه اتومبیل / قیمت ایمپلنت دندان با بیمه /سپتیک تانک /بهترین دکتر لیپوماتیک در تهران /بهترین جراح بینی در تهران / آموزش تزریق ژل و بوتاکس / دوره های زیبایی برای مامایی / آموزش مزوتراپی، PRP و PRF /کاشت مو / مجتمع فنی تهران /قیمت روکش دندان /خدمات پرداخت ارزی نوین پرداخت / درمان طب / لیست قیمت تجهیزات پزشکی / دانلود آهنگ / سریال ایرانی کول دانلود / دانلود فیلم دوبله فارسی /داروخانه اینترنتی آرتان /اشتراك دايت /فروشگاه لوازم بهداشتی /داروخانه تینا /لیفت صورت در تهران /فروش‌ دوربین مداربسته هایک ویژن /سرور مجازی ایران /مرکز خدمات پزشکی و پرستاری در منزل درمان نو /توانی نو / ثبت برند /حمل بار دریایی از چین /سایت نوید /پزشک زنان سعادت آباد /کلاه کاسکت / لمینت متحرک دندان /فروشگاه اینترنتی زنبیل /ساعت تبلیغاتی /تجهیزات پزشکی /چاپ لیوان /خرید از آمازون /بهترین سریال های ایرانی /کاشت مو /قیمت ساک پارچه ای /تولید محتوا /دانلود نرم افزار /
9 نظرات
  1. داریوش می گوید

    اوه پسر الان تو شرکتای بزرگ فناوری چه خبره بخاطر این ماجرا :O

  2. حامد می گوید

    ممنون بابت اطلاع رسانی

  3. فرهاد دلیرانی می گوید

    ببین اون برنامه نویسه کی بوده!!

  4. فرشاد می گوید

    این حفره در نسخه های جدید OpenSSL وجود داره ، سرور هایی که از نسخه قدیمی تر نظیر 0.9.6 استفاده میکنند ، دارای این حفره نیستند ، مدیران سرور به سادگی با بروز رسانی پکیج اصلی OpenSSL میتوانند این حفره بی نهایت خطرناک را پچ کنند

  5. پویا آی تی می گوید

    با این همه مراکز متعدد پیشگیری از حملات سایبری در کشور که با بودجه دولتی حمایت می شوند هیچ کدام به موقع اطلاع رسانی نکردند و فکر کنم برای اولین بار این موضوع توسط تیم امنیت شبکه شرکت بیان مطرح و اطلاع رسانی شد.
    جالبه سایت سازمان پدافند غیرعامل paydarymelli.ir جزو سایت های آسیب پذیر بود که آسیب پذیری آن بعدا رفع شد!
    مدیران سایت ها می توانند برای تشخیص و درمان آسیب پذیری احتمالی سایت خود از آدرس استفاده کنند :
    http://amn.bayan.ir

  6. علـــی می گوید

    سلام. در لینک فوق سایت یاهو را در معرض تهدید اعلام کرده‌است.

    1. حامد پورحسینی می گوید

      سلام
      طبق گزارش لست‌پس در حال حاضر یاهو امنه

      https://lastpass.com/heartbleed/?h=yahoo.com

      1. علـــی می گوید

        متشکر.

  7. کوروش می گوید

    شما اون برنامه نویس رو به من نیشان بده!

ارسال یک پاسخ

آدرس ایمیل شما منتشر نخواهد شد.

••4 5