Bloomberg: АНБ два года пользовалось критической уязвимостью в OpenSSL
Как сообщили два анонимных источника Bloomberg, АНБ как минимум два года знало об уязвимости Heartbleed, которая позволяла получать из множества сайтов конфиденциальную информацию. По их словам, секретное агентство регулярно использовало баг для сбора разведывательной информации.
Используя Heartbleed, АНБ могло получать пароли и другие данные миллионов простых пользователей со всего мира. Официальный представитель агентства отказалась комментировать информацию издания.
Решение АНБ в национальных интересах держать в секрете информацию об уязвимости грозит возобновлением жарких споров о роли правительственных компьютерных экспертов, предупреждает Bloomberg.
Уязвимость Heartbleed была обнаружена 7 апреля. Злоумышленник, зная о ней, мог так составить запрос к серверу, поддерживающему защищённое соединение с помощью пакета OpenSSL, что тот выдавал содержимое случайных участков своей оперативной памяти. В этих фрагментах могли находиться данные для шифрования, фрагменты переписок, имена пользователей, пароли и другие данные.
Использование бага оставалось бесследным. Всего он просуществовал около двух лет. Немецкий программист, добавивший уязвимый код в одну из функций OpenSSL, заявил, что это произошло из-за невнимательности его самого и человека, проверявшего предложенные правки.
Несмотря на потенциальную опасность Heartbleed, вопрос эффективности практического применения уязвимости остаётся открытым. Эксперты из компании CloudFlare, занимающейся защитой сайтов от DDoS-атак, в ходе тестов не смогли использовать обнаруженный баг для получения секретных ключей.
Они запустили конкурс, в рамках которого предложили всем желающим атаковать специальный сайт. Компания по защите данных Ionic Security, в свою очередь, предложили награду в 10 тысяч долларов тому, кто сможет успешно применить Heartbleed против тестового сайта CloudFlare.
© TJournal
