آرشیو ماهانه:اردیبهشت 1393

<

مواظب Heartbleed باشیم

heartbleedبدون شک حالا Heartbleed را می توان بزرگترین،‌ مهمترین و خطرناک ترین حفره امنیتی در اینترنت دانست؛ یک نقص فاحش امنیتی که بیش از دو سوم وسعت اینترنت را در معرض افشای اطلاعات محرمانه قرار داده است. حالا هر کسی در هر گوشه از جهان می تواند یک قربانی بالقوه باشد؛ یک “مرده مجازی” که تمام اطلاعات شخصی،‌خصوصی ، محرمانه و ارزشمند وی توسط هکرها یا  تبهکاران سایبری به سرقت رفته است.
 برای این که به ابعاد قدرت و وسعت این حفره امنیتی نزدیک شویم، کافیست به فهرست بلندبالایی از نام های بزرگ و برندهای برتر فن آوری اطلاعات توجه کنیم، شرکت هایی مثل یاهو، سیسکو، جونیپر نتورکز، مایکروسافت، گوگل، فیس بوک، دراپ باکس، سی ان ان، بلاگر و صدها هزار وب سایت ریز و درشت دیگر به همراه برخی از مهمترین پایگاه های اطلاعاتی جهان،‌ تنها بخشی از قربانیان heartbleed را تشکیل می دهند. … این یعنی میلیاردها کاربر و حساب کاربری در معرض خطر افشای اطلاعات محرمانه قرار گرفته اند.
اما متآسفانه مشکل از این هم فراتراست!!
بنا بر گزارش شرکت امنیتی پاندا سکیوریتی، شرکت ها، سازمان ها و اداراتی که از سخت افزارها و نرم افزارهای آسیب پذیر استفاده می کنند یا در یکی از پایگاه های اطلاعاتی آلوده دارای حساب کاربری هستند،‌ وضعیت امنیت اینترنت را به مراتب وخیم تر کرده اند. به این ها البته می توانید سیل عظیم مشتریان هر نوع خدمات آنلاین را اضافه کنید که با استفاده از رایانه های سازمانی، به سرورهای آلوده متصل می شوند.
 در مورد حفره امنیتی Heartbleed،‌ خبر تلخ و ناامید کننده بسیار است. اما خوشبختانه اخبار امیدوارکننده ای هم هست که ثابت می کنند هر کدام از ما می توانیم تحت تأثیر این نقص وسیع قرار نداشته باشیم.
 ماریا لوپز، یکی از کارشناسان امنیتی شرکت پاندا، می گوید این حفره امنیتی فقط در نسخه های خاصی از ابزار رمزنگاری معروف به openSSL کشف شده و نمی تواند به مجموع روش های رمزگذاری در پروتکل SSL، TSL تعمیم پیدا کند. بیشتر سازمان های حساس و استراتژیک مانند شرکت های امنیت اینترنت، بانک ها و موسسات مالی معتبر، به هیچ عنوان از پروتکل openSSL استفاده نمی کنند،‌ بنابراین  کاربران این مراکز در امنیت و مصونیت کامل هستند. شرکت های دیگر نیز تنها در بخش هایی از خدمات اینترنتی  خود از openSSL استفاده می کنند.
 خبر خوب دیگر این که حالا تقریباً تمام شرکت های جهانی ارائه دهنده خدمات مبتنی بر اینترنت و سازمان های تولید کننده نرم افزار و سخت افزار،‌ اصلاحیه های لازم را برای رفع این مشکل امنیتی نصب کرده اند و تنها مشتریانی در معرض خطر هستند که به نحوی نرم افزار یا سخت افزارهای مورد استفاد خود را به روز نکرده باشند.
و حالا … چند راهکار ساده برای این که قربانی Heartbleed‌ نباشیم ؟!
۱-    قبل از هر چیز باید بدانیم که بیشتر سرویس های اینترنتی آلوده به این نقص امنیتی، اصلاحیه مهم و جدید  openSSL‌ را نصب کرده اند و از این به بعد نگرانی خاصی وجود ندارد. اما با این حال، مهمترین کاری که باید انجام دهید “تغییر تمام رمزهای عبور اینترنتی در وب سایت ها و پایگاه های اینترنتی مورد استفاده شماست”.
۲-    می توانید عنوان وب سایت های مورد نظرتان را در یکی از این صفحات زیر وارد کنید و از آلودگی یا عدم آلودگی آن ها به Heartbleed مطلع شوید؛ در این صورت قبل از ورود به بخش کاربری هر وب سایت، از عدم وجود آسیب پذیری در آن مطمئن می شوید.
https://www.ssllabs.com/ssltest
https://lastpass.com/heartbleed
۳-    صورت وضعیت مالی خود را به طور مرتب تحت کنترل داشته باشید و حتی در صورت لزوم با مؤسسه ای که از آن خدمات مالی آنلاین دریافت می کنید تماس بگیرید و از امنیت کامل حساب های بانکی تان مطمئن شوید. علاوه بر این تمام رمزهای مربوط به خدمات بانکی تان مانند رمز کارت اعتباری، رمز اینترنت بانک، تلفن بانک و سایر اطلاعات محرمانه مالی خود را تغییر دهید