A múlt hét elején felfedezett, az érintett verzió kitettségét tekintve közel két éves intervallumot felölelő OpenSSL-sebezhetőség rendkívül széles körben érinti az informatikai iparág szereplőit és felhasználóit. A Heartbleed néven hivatkozott bug lehetőséget ad az érintett OpenSSL-verzióval védett rendszerek memóriájának olvasására, hozzáférhetővé válnak a kommunikációs csatornák titkosítására használt privát kulcsok, és az adatlopás mellett utat nyit a szolgáltatások vagy felhasználók megszemélyesítésére is. A hibát az OpenSSL 1.0.1g verziójában javították, a sebezhető komponens a webszerverek mellett hálózati és mobil eszközöket, célgépeket is érint, ahol később érkezhetnek a frissítések és az új firmware-verziók.
A webszerverek tanúsítványának cseréje mellett a különösen az első napokban felhasználói oldalon is indokolt volt a fontos jelszavak megváltoztatása: bár egyes szolgáltatások – például LinkedIn, Outlook, PayPal, Evernote – biztonságosak voltak, az érintettség mások esetében nem mindig volt egyértelmű, és akadnak olyan fontos szolgáltatások – például Facebook, Google vagy Dropbox –, ahol ez kifejezetten ajánlatos volt. Az egyes domainek korábbi és aktuális jellemzőit online is ellenőrizheti, aki bízik a webes felületekben. Külön érdekesség, hogy a Bloomberg értesülései szerint az NSA is régóta ismerte és kiaknázta a bugot, amely ironikus módon éppen a biztonságos kapcsolatok alkalmazásakor (mondjuk https:// weboldalak böngészésekor) használható ki.
Így lehetne sokkal nehezebb dolguk
A jelszavak biztonsága és sebezhetősége jó ideje téma: a különböző azonosítók különböző, rendszeresen változtatott jelszavakat javasolnak, amelyek egyaránt tartalmaznak kis- és nagybetűket, számokat vagy speciális karaktereket, ráadásul nem emlékeztetnek semmilyen értelmes kifejezésre. Mindez nem csak a felhasználók felületessége vagy kényelmessége miatt nehezen kivitelezhető, de a kémprogramok az összetett jelszavakat is ugyanúgy kiszivárogtatják, sőt a jelszavakat tároló intézmények rendszerei is gyakran válnak az adattolvajok célpontjává. Nem véletlen, hogy egyre többen az alternatív hitelesítési megoldásokban látják a megoldást.
A Sophos Naked Security blogján is a két lépésben történü (két faktoros) beléptetésről értekeznek, amelyre a vezető online szolgáltatások egyike-másika már lehetőséget ad felhasználóinak – igaz, nem feltétlenül az ingyenes vagy fapados ügyfeleknek. Az azonosítás újabb rétege a Heartbleed jelentőségét persze nem csökkentené, de az ilyen úton ellopott jelszavak egy részét nehezen alkalmazhatóvá vagy egyenesen használhatatlanná tenné, jelentősen megnehezítve a támadók dolgát. A két faktoros beléptetés vagy akár a vizuális eszközök olyan módon egészítik ki a jelszavas hitelesítést, amellyel a kockázatok végül elfogadható szintre csökkenhetnek.
A jövőálló digitális megoldások sikere az üzleti értékteremtésben mérhető
Az informatikai fejlesztések gyakran technológiai kérdésként jelennek meg, pedig egy kódsor vagy digitális megoldás önmagában soha nem lehet végcél. A 4D Soft több mint 35 éve ennek szellemében fókuszál a projektek negyedik dimenziójára: az üzleti értékteremtésre.
a melléklet támogatója a Clico
A hibakeresés nem egyenlő az alkalmazásbiztonsággal
Építsünk olyan AppSec környezetet, amely csökkenti az alkalmazásfejlesztés kockázatait, de nem válik a gyors leszállítás akadályává!
CIO kutatás
Merre tart a vállalati IT és annak irányítója?
Hiánypótló nagykép a hazai nagyvállalati informatikáról és az IT-vezetőkről: skillek, felelősségek, feladatkörök a múltban, a jelenben és a jövőben.
Töltse ki Ön is, hogy tisztábban lássa, hogyan építse vállalata IT-ját és saját karrierjét!
Az eredményeket május 8-án ismertetjük a 17. CIO Hungary konferencián.
Projektek O-gyűrűje. Mit tanulhat egy projektvezető a Challenger tragédiájából?