Какво представлява уязвимостта Heartbleed?

Една от най-известните уязвимости от средата на 2010-те се наричаше „Heartbleed“. Heartbleed беше особено сериозен, защото засегна софтуера „OpenSSL“, основната криптографска библиотека за HTTPS връзки, които са много широко използвани. За да влоши нещата, уязвимостта присъстваше в OpenSSL повече от две години, преди да бъде открита, оповестена и коригирана, което означаваше, че много хора използват уязвима версия.

Heartbleed беше уязвимост при изтичане на данни в разширението за сърдечен ритъм, което при експлоатиране изтече данни от RAM от сървъра към клиента. Разширението на сърдечния ритъм се използва за поддържане на връзка между уеб сървъра и клиента, без да се прави нормална заявка за страница.

В случай на OpenSSL, клиентът изпраща съобщение до сървъра и информира сървъра колко дълго е съобщението, до 64KB. След това сървърът трябва да повтори същото съобщение. Най-важното обаче е, че сървърът всъщност не е проверил дали съобщението е толкова дълго, колкото клиентът твърди, че е. Това означаваше, че клиентът може да изпрати съобщение от 10KB, да твърди, че е 64KB и да получи отговор от 64KB, като допълнителните 54KB се състоят от следващите 54KB RAM, без значение какви данни се съхраняват там. Този процес е добре визуализиран от XKCD комикс #1354 .

Изображението е предоставено от xkcd.com .

Като прави много малки заявки за сърдечен ритъм и твърди, че са големи, нападателят може да изгради картина на по-голямата част от RAM на сървъра, като събере отговорите заедно. Данните, които се съхраняват в RAM, които могат да бъдат изтекли, включват ключове за криптиране, HTTPS сертификати, както и некриптирани POST данни, като потребителски имена и пароли.

Забележка: Това е по-малко известно, но протоколът за сърдечен ритъм и експлойтът също работиха в другата посока. Злонамерен сървър може да бъде конфигуриран да чете до 64KB потребителска памет на заявка за сърдечен ритъм.

Проблемът беше открит от множество изследователи по сигурността независимо на първи април 2014 г. и беше разкрит частно на OpenSSL, за да може да се създаде корекция. Грешката беше публикувана, когато корекцията беше пусната на седми април 2014 г. Най-доброто решение за разрешаване на проблема беше да се приложи корекцията, но също така беше възможно проблемът да се отстрани чрез деактивиране на разширението за сърдечен ритъм, ако незабавното коригиране не беше опция.

За съжаление, въпреки че експлойтът е публичен и като цяло добре известен, много уебсайтове все още не се актуализираха веднага, като уязвимостта все още понякога се открива дори години по-късно. Това доведе до редица случаи на експлойта, използван за получаване на достъп до акаунти или изтичане на данни.