خونریزی قلبی سایت

[*جیگرم*]

آسیب‌پذیری بسیار مهمی در تاریخ 19 فروردین 1393 - 8 آوریل 2014 منتشر شده است که درجه تهدیدهای اینترنتی را در وضعیت قرمز قرار داده است و به "خونریزی قلبی" شهرت یافته است. با توجه به خطری که این مساله برای امنیت کاربران سایت ها ایجاد می کند، شرکت بیان اقدام به انتشار ابزار تشخیص این آسیب پذیری نموده است تا مدیران سایت‌ها بتوانند از وضعیت آسیب پذیری سایت خود مطلع شوند و در صورت وجود مشکل بتوانند فورا نسبت به رفع آن اقدام نمایند. کافی است آدرس سایت خود را در کادر زیر وارد کرده و آخرین تحلیل امنیتی سایت خود را مشاهده نمایید.

http://amn.bayan.ir/?url=barnamenevis.org
سایت barnamenevis.org (http://barnamenevis.org/) آسیب پذیر است!

[*جیگرم*]

توصیه به مدیران وب سایت ها و سرور‌ها:
این آسیب رسانی نرم‌افزارهای استفاده کننده از نسخه‌های بخصوصی از کتابخانه OpenSSL (نسخه‌‌ی 1.0.1 تا 1.0.1g) را که شامل موارد زیر است را تحت تاثیر قرار می‌دهد و امکان استخراج ناخواسته اطلاعات حساس را به حمله‌کننده می‌دهد:


وب‌سرورها و فایروال‌های نرم‌افزاری با قابلیت ارتباط امن HTTPS و TLS
سرویس‌های انتقال داده و پیام رسانی استفاده کننده از HTTPS

توصیه می‌شود در این خصوص به اخبار امنیتی سیستم‌عامل و نرم‌افزارهای مورد استفاده خود مراجعه کنید و مطمئن شوید از به‌روزترین نسخه‌های نرم‌افزارها در سرور خود استفاده می‌کنید. برای اطلاعات بیشتر به اینجا (http://heartbleed.com/) مراجعه کنید.


نقل و کپی مطلب بدون درج پیوند و ذکر منبع مجاز نمی‌باشد. (http://bayan.blog.ir/1393/01/19)

[مهدی کرامتی]

پچ رفع مشکل فوق بر روی سرور نصب شده است.

[مهدی کرامتی]

سایت ما از پروتکل SSL/TLS برای هیچ کاری استفاده نمی کنه، بنابراین چیزی در خطر نیست. حفره های خطرناکی که می توانست باعث کسب اطلاعات مفید برای هکر (مانند Session Hijacking) باشد قبلا پچ شده و بدون مشکل است. سرویس هایی مانند Gmail و یا اینترنت بانک ها که از https استفاده می کنند میبایست نگران مشکلات فوق باشند.

[amin1softco]

یعنی ssh از چی استفاده می کنه برای رمز نگاری ؟

[مهدی کرامتی]

Certificate ای که SSH استفاده می کنه از اونی که توسط وب سرور استفاده می کنه جداست. سرور SSH نیز فقط توسط مدیر سایت استفاده میشه، نه کاربران.

[amin1softco]

ولی openssl که جدا نیست یک لایبرری است برای رمز نگاری در سیستم عامل همه بهش مراجعه می کنند و باگش هم در وب سرور است و این باگ هم با استفاده از محتویات ram کار می کنه یعنی به جای 4 کارکتر که باید ریپلی بشه درخواست 500 کارکتری می دهند و در این 500 کارکتر ممکن است یوزر و پسورد ssh شما هم رویت بشود البته این نظر بنده است :متفکر:

[nrp man]

پرتکلهایی مثل ssh , http و ... به عدم استفاده از SSL/TLS (استفاده محدود از OpenSSL) آسیب پذیر نیستند.در عوض پرتکلهایی مثل : SFTP , HTTPS و... با استفاده مستقیم از SSL امکان استفاده از اکسپلویت فوق را که می توانید علت رخدادنش را در این لینک (http://blog.existentialize.com/diagnosis-of-the-openssl-heartbleed-bug.html) مشاهده کنید.در اصل با غیر فعال کردن heartbeat از بالقوه بودن تهدید از سمت کاربر جلوگیری شده.

این عکس هم مثال خوبی برای شرح این آسیب پذیری محسوب میشه.

http://i.stack.imgur.com/fA4a4.png

کافیه به سوالات بیشماری که کاربران در بخش Security سایت stackexchange مطرح کردند مراجعه کنید تا به شکل دقیقتر به پاسختون برسید.
http://security.stackexchange.com/questions/tagged/heartbleed