Graving Through The Hype: Har Heartbleed faktisk skadet noen?

Annonse

The Heartbleed bug Heartbleed - Hva kan du gjøre for å være trygg? Heartbleed - Hva kan du gjøre for å være trygg? Les mer har vært gjenstand for mye håndvridning og har blitt kalt en av de mest alvorlige bruddene på datasikkerhet av all tid. Massiv feil i OpenSSL legger mye av Internett i fare Massiv feil i OpenSSL legger mye av Internett i fare Hvis du er En av de menneskene som alltid har trodd at åpen kildekode kryptering er den sikreste måten å kommunisere på nettet, du er litt overrasket. Les mer . Men noen mennesker er ikke overbevist - det har jo trolig hvem som har Heartbleed faktisk skadet? Vel, det har vært flere rapporterte angrep fra Heartbleed som brukes til å gjøre reell skade. Hvis du tror Heartbleed er all sprøytenarkoman, tenk igjen.

900 SINs stjålet fra det kanadiske inntektsverket

I Canada brukte en angriper Heartbleed-buggen mot det canadiske inntektsverket, og fanget om lag 900 sosialforsikringsnumre (SIN) som tilhører folk som sender inntektsskatt. Dette er i utgangspunktet den kanadiske som tilsvarer en angriper som fanger opp personnummer (SSN) fra IRS i USA. Noen data knyttet til kanadiske bedrifter ble også stjålet.

Angriperen ble arrestert for å fange disse tallene, men vi vet ikke om angriperen solgte SINene eller sendt dem videre til noen andre. I likhet med personnummer i USA er disse tallene generelt ikke foranderlige - de kan bare endres hvis du har bevis på at du har vært utsatt for svindel. Berørte skattebetalere må abonnere på en kredittovervåkningstjeneste og holde styr på folk som forsøker å åpne bankkontoer og kredittkort i deres navn. Identitetsstyveri 6 Advarselsskilte av digital identitetstyveri Du bør ikke ignorere 6 advarselsskilte av digital identitetstyveri Du bør ikke ignorere Identitetsstyveri er ikke så sjelden av en forekomst i disse dager, men vi faller ofte inn i fellen for å tro at det Det kommer alltid til å være "noen andre". Ikke ignorér advarselsskiltene. Les mer er en alvorlig bekymring her.

Mumsnet og andre passordstyver

Mumsnet annonserte nylig at det tvinger alle brukere til å endre passordene sine. Dette var ikke bare en forebyggende tiltak - Mumsnet hadde grunn til å tro at angriperne hadde fått tilgang til passordene og private meldinger som tilhørte opptil 1, 5 millioner brukere.

Dette er trolig ikke det eneste nettstedet som har hatt sensitive passord stjålet fra det. Hvis folk gjør den store feilen med å gjenbruke det samme passordet på flere nettsteder, kan en angriper komme inn i andre kontoer. For eksempel, hvis noen bruker det samme passordet for både deres Mumsnet-konto og e-postkontoen knyttet til deres Mumsnet-konto, kan angriperen komme inn på den e-postkontoen. Derfra kan angriperen tilbakestille andre passord og komme inn i andre kontoer

Hvis du mottok en e-post fra en tjeneste som anbefaler deg å endre passordet ditt og forsikre deg om at du ikke bruker det samme passordet andre steder, er det mulig at tjenesten hadde sitt passord stjålet - eller det kan ha fått passordene sine stjålet og ikke sikkert.

VPN Hijacking og Private Key Thefts

Sikkerhetsselskapet Mandiant annonserte at angripere brukte Heartbleed til å bryte et internt firma VPN, eller virtuelt privat nettverk, tilhørende en av sine kunder. VPN bruker multifaktorautentisering Hva er tofaktorautentisering, og hvorfor du bør bruke det Hva er tofaktorautentisering, og hvorfor du bør bruke det Tofaktorautentisering (2FA) er en sikkerhetsmetode som krever to forskjellige måter å bevise din identitet Det brukes vanligvis i hverdagen. Hvis du for eksempel betaler med et kredittkort, krever ikke kortet bare ... Les mer, men det spilte ingen rolle - - angriperen var i stand til å stjele private krypteringsnøkler fra et VPN-apparat med Heartbleed-angrepet og kunne deretter kapre aktivere VPN-økter.

Vi vet ikke hva selskapet ble angrepet her - Mandiant annonserte bare at det var et "stort selskap". Angrep som denne kunne brukes til å stjele sensitive bedriftens data eller infisere interne bedriftsnettverk. Hvis selskaper ikke sikrer at deres nettverk ikke er sårbare for Heartbleed, kan deres sikkerhet enkelt omgåes.

Den eneste grunnen til at vi hører om dette er at Mandiant ønsker å oppfordre folk til å sikre sine VPN-servere. Vi vet ikke hvilket selskap som ble angrepet her fordi selskaper ikke vil kunngjøre at de har blitt kompromittert.

Dette er ikke det eneste bekreftede tilfellet med Heartbleed som brukes til å stjele en privat krypteringsnøkkel fra en kjørerens minne. CloudFlare tvilte om at Heartbleed kunne brukes til å stjele private krypteringsnøkler og utgitt en utfordring - prøv å få den private krypteringsnøkkelen fra vår server hvis du kan. Flere personer fikk privat nøkkel innen en enkelt dag.

Statlig overvåkingsbyråer

Kontroversielt kunne Heartbleed buggen blitt oppdaget og utnyttet av statlig overvåkings- og etterretningsorganer før det ble offentlig kunnskap. Bloomberg rapporterte at NSA har utnyttet Heartbleed i minst to år. NSA og White House nektet dette, men direktør for nasjonal intelligens James Clapper sa famously at NSA ikke samler data om millioner av amerikanere før NSAs overvåkingsaktiviteter ble kjent. Det vet vi nå ikke er sant. Hva er PRISM? Alt du trenger å vite Hva er PRISM? Alt du trenger å vite Nasjonalt sikkerhetsbyrå i USA har tilgang til hvilke data du lagrer hos amerikanske tjenesteleverandører som Google Microsoft, Yahoo og Facebook. De overvåker også mesteparten av trafikken som strekker seg over ... Les mer. Vi vet også at NSA lager sikkerhetsproblemer for bruk mot overvåkingsmål, i stedet for å rapportere dem slik at de kan løses.

NSA til side, det er andre statlige overvåkingsorganer i verden. Det er mulig at et annet lands statsovervåkingsbyrå oppdaget denne feilen og brukte den mot overvåkingsmål, muligens til og med amerikanske baserte selskaper og myndigheter. Vi kan ikke vite noe sikkert her, men det er veldig mulig at Heartbleed har blitt brukt til spionasjeaktiviteter før det ble offentliggjort - det vil sikkert bli brukt til disse formål nå som det er offentlig kunnskap!

Vi vet bare ikke

Vi vet bare ikke hvor mye skade Heartbleed har gjort ennå. Bedrifter som ender opp med brudd takket være Heartbleed, vil ofte unngå å gjøre noen pinlige kunngjøringer som kan skade virksomheten eller skade sine aksjekurser. Det er generelt lettere å håndtere problemet internt enn å la verden få vite.

I mange andre tilfeller vil tjenester ikke vite at de har blitt bitt av Heartbleed. Takket være den typen forespørsel som Heartbleed-sårbarheten bruker, vil Heartbleed-angrep ikke vises i mange serverlogger. Det vises fortsatt i nettverkstrafikklogger hvis du vet hva du skal se etter, men ikke alle organisasjoner vet hva du skal se etter.

Det er også mulig at Heartbleed bug har blitt utnyttet tidligere, før det ble offentlig kunnskap. Det er mulig at cyberkriminelle eller - mer sannsynlig - statlige overvåkingsorganer oppdaget feilen og har brukt den. Eksemplene her er bare et øyeblikksbilde av de få tingene vi kjenner.

Hype er berettiget - det er viktig at vi får tjenester og enheter oppdatert så raskt som mulig for å bidra til å redusere skadene og unngå verre angrep i fremtiden.

Bildekreditt: Snoopsmas på Flickr, ChrisDag på Flickr