Video: Heartbleed, Running the Code - Computerphile (Kasım 2024)
TLS (Aktarım Katmanı Güvenliği) ve SSL (Güvenli Yuva Katmanı) gibi süslü kısaltmalar, ağ iletişimi konusunda eğitilmemiş olanlar için karmaşıktır. Güvenli iletişimdeki bir hatadan yararlanan Heartbleed saldırısının inanılmaz derecede karmaşık ve eğlenceli olacağını umuyordunuz. Eh, değil. Aslında, gülünç basit.
Doğru Çalışırken
İlk olarak, küçük bir arka plan. Güvenli (HTTPS) bir web sitesine bağlandığınızda, güvenli oturumu ayarlamak için bir tür el sıkışma olabilir. Tarayıcınız sitenin sertifikasını ister ve doğrular, güvenli oturum için bir şifreleme anahtarı oluşturur ve sitenin genel anahtarını kullanarak şifreler. Site, ilgili özel anahtarı kullanarak şifresini çözer ve oturum başlar.
Basit bir HTTP bağlantısı, ilgisiz olaylar dizisidir. Tarayıcınız siteden veri talep ediyor, site bu verileri döndürüyor ve bir sonraki talebe kadar bu kadar. Bununla birlikte, güvenli bir bağlantının her iki tarafı için diğerinin hala aktif olduğundan emin olmak faydalıdır. TLS'nin kalp atışı uzantısı, bir cihazın diğer cihazın geri gönderdiği belirli bir veri yükünü göndererek diğerinin devam ettiğini doğrulamasını sağlar.
Büyük Bir Kepçe
Kalp atışı yükü, diğer şeylerin yanı sıra, yük uzunluğunu tanımlayan bir alan içeren bir veri paketidir. Bir Heartbleed saldırısı, taşıma yükü uzunluğu hakkında yalan söylemeyi içerir. Kötü biçimlendirilmiş kalp atışı paketi, uzunluğunun 64 KB olduğunu, mümkün olduğunu söylüyor. Buggy sunucusu bu paketi aldığında, bu miktarda veriyi bellekten yanıt paketine kopyalayarak yanıt verir.
Sadece bu hafızada ne var? Söylemenin bir yolu yok. Saldırganın kalıpları aramak için taraması gerekecek. Ancak, şifreleme anahtarları, giriş bilgileri ve daha fazlası dahil, potansiyel olarak herhangi bir şey yakalanabilir. Düzeltme basittir - gönderenin paket uzunluğu hakkında yalan söylemediğinden emin olun. Ne yazık ki, ilk başta bunu yapmayı düşünmediler.
Hızlı cevap
Bu hatanın kullanılması, iz bırakmadığından, ne kadar güvenli verilerin çalındığını gerçekten söyleyemiyoruz. BAE Systems Applied Intelligence'ın Siber Güvenlik CTO'su Dr. David Bailey, "Dijital suçluların hassas kişisel veriler elde etmek, kullanıcı hesaplarını ve kimliklerini devralmak ve para çalmak için bundan faydalanıp faydalanamayacağını yalnızca bir zaman söyleyecektir. bağlı dünyanın önemli bir özelliğini vurguluyor ve işletmelerin ve güvenlik sağlayıcılarının bu gibi konulara nasıl hitap ettikleri konusunda çevik olma ve zayıf noktalar saldırıdan önce savunmayı geliştiren istihbarat odaklı teknikleri kullanmaları gerektiğini gösteriyor. ”
Görünüşe göre, çoğu web sitesi bu durumda gerekli çevikliği göstermektedir. BAE 8 Nisan’da, en yüksek 10.000 web sitesinin 628’inin savunmasız olduğunu belirtti. 9 Nisan günü, dün, bu sayı 301'e düştü. Bu sabah 180'e düştü. Bu oldukça hızlı bir tepki; Umarız ki beklemeler yakında hatayı düzeltmekle meşgul olur.
Aşağıdaki Infographic, Heartbleed'in nasıl çalıştığını göstermektedir. Daha büyük görüntü için tıklayın.
