Heartbleed: meglio evitare un “attacco di cuore”

Da Milano – Heartbleed è la falla che sta mettendo a rischio i dati di milioni di utenti. Trend Micro, leader globale nella sicurezza per il cloud, fa il punto su come scoprire se si è stati colpiti e come reagire.

Heartbeat/Heartbleed

OpenSSL ha introdotto un’estensione chiamata Heartbeat a Dicembre 2011, con la sua 1.0.1 build release e come definito dal RFC 6520 TLS/DTLS Heartbeat Extension. La funzione di questa estensione era quella di evitare di ristabilire le sessioni e permettere un meccanismo per mantenere aperte le sessioni SSL più a lungo.
OpenSSL è utilizzato da molti siti e software: dai server open source come Apache e nginx ai server email, i server per le chat, le VPN e perfino le applicazioni di rete.
La vulnerabilità, soprannominata Heartbleed Bug, esiste su tutte le implementazioni Open SSL che utilizzano l’estensione Heartbeat. Se utilizzata su un server vulnerabile permette di avere accesso alla memoria del computer, senza lasciare traccia. La memoria del computer può ovviamente contenere informazioni e dati sensibili e questo bug può essere utilizzato da chiunque.

Versioni OpenSSL infette e come scoprire se si è stati colpiti

· Solo le versioni 1.0.1 e 1.0.2-beta release sono infette, incluse 1.0.1f e 1.0.2-beta1
· Gli utenti possono scoprire se sono stati colpiti a questo sito
· Gli utenti colpiti devono fare l’upgrade a OpenSSL version 1.0.1g, rilasciata il 7 aprile