Heartbleed

Heartbleed è una falla di sicurezza in OpenSSL scoperta dalla società finlandese di sicurezza Codenomicon e resa pubblica il 7 aprile 2014. OpenSSL è la tecnologia di crittografia usata per creare connessioni sicure ai siti web tramite HTTPS, stabilire VPN e crittografare diversi altri protocolli. Poiché OpenSSL è usato da circa due terzi dei server web, la vulnerabilità è considerata una delle falle di sicurezza più importanti scoperte dall'inizio del web.

Come funziona Heartbleed?

L'exploit Heartbleed sfrutta la comunicazione iniziale tra il client e il server. Questo passaggio preliminare viene comunemente chiamato "handshake", anche se OpenSSL fornisce una variante chiamata "heartbeat". L'heartbeat viene usato per stabilire una connessione sicura, ma i dati trasmessi durante l'heartbeat non vengono inviati in modo sicuro.

Inviando informazioni false a un server, un hacker può recuperare blocchi di dati da 64 kilobyte dalla cache del server. Sebbene si tratti di una quantità ridotta di dati, è sufficiente a contenere un nome utente, una password o altre informazioni riservate. Effettuando diverse richieste una dopo l'altra, un hacker può potenzialmente acquisire grandi quantità di dati privati memorizzati nella memoria di un server.

Il bug Heartbleed riguarda specificamente OpenSSL 1.0.1 fino alla versione 1.0.1f e la versione 1.0.2-beta1. Le altre versioni di OpenSSL e gli altri tipi di implementazioni TLS (transport layer security) non sono interessati. Dopo che il bug è stato reso noto il 7 aprile, molti server web sono stati aggiornati immediatamente alla versione 1.0.1g. Tuttavia, non si sa quanti server siano stati interessati né quanti utilizzino ancora la versione vulnerabile di OpenSSL.

In che modo Heartbleed mi riguarda?

È improbabile che il bug Heartbleed ti riguardi direttamente. Sebbene la falla di sicurezza sia rimasta inosservata per due anni, ci sono poche prove che l'exploit sia stato usato su larga scala. Tuttavia, per sicurezza, puoi proteggerti aggiornando le password per gli accessi ai siti web, gli account email e gli altri servizi online.