Video: Вяжем вместе в декабре крючком и спицами: красивую и эффектную кофту, кардиган, две туники (November 2024)
Aprila smo izvedeli, da lahko napaka v priljubljeni knjižnici kode OpenSSL napadalcem omogoči, da si naberejo spomin z domnevno varnih strežnikov, kar lahko zajame poverilnice za prijavo, zasebne ključe in drugo. Poimenovan "Heartbleed", je ta hrošč obstajal več let, preden so ga odkrili. Večina razprav o tej napaki je predvidevala, da jo bodo hekerji uporabili proti varnim strežnikom. Vendar novo poročilo kaže, da ga je mogoče enostavno izkoristiti tako na strežnikih kot na končnih točkah z operacijskim sistemom Linux in Android.
Luis Grangeia, raziskovalec v podjetju SysValue, je ustvaril knjižnico z dokazili koncepta, ki jo imenuje "Kupid." Kupid je sestavljen iz dveh popravkov na obstoječe knjižnice kode Linux. Ena omogoča, da "zlobni strežnik" izkorišča Heartbleed na ranljivih odjemalcih Linuxa in Androida, drugi pa omogoča, da "zlobni odjemalec" napada strežnike Linux. Grangeia je izvorno kodo omogočila prosto dostopnost, v upanju, da se bodo pridružili še drugi raziskovalci, če želite izvedeti več o tem, kakšni napadi so možni.
Niso vsi ranljivi
Kupid posebej deluje proti brezžičnim omrežjem, ki uporabljajo razširljiv protokol za preverjanje pristnosti (EAP). Vaš domači brezžični usmerjevalnik skoraj zagotovo ne uporablja EAP, vendar večina rešitev na ravni podjetja. Po besedah Grangeia celo nekatere ožičene mreže uporabljajo EAP in bi bil zato ranljiv.
Sistem, ki je zakrpan s Kupidovo kodo, ima tri možnosti, da pridobi podatke iz spomina žrtve. Napada lahko še preden se varna povezava sploh vzpostavi, kar je nekoliko zaskrbljujoče. Napada lahko po stisku roke, ki vzpostavi varnost. Lahko pa napade tudi po deljenju podatkov aplikacije.
Kar se tiče tega, kaj lahko zajame Kupidova naprava, Grangeia ni natančno ugotovila, da "čeprav je s preglednim pregledom mogoče najti zanimive stvari tako za ranljive stranke kot strežnike." Ali lahko ta "zanimiva stvar" vključuje zasebne ključe ali uporabniške poverilnice, še ni znano. Del razloga za sprostitev izvorne kode je v tem, da dobimo več možganov pri odkrivanju takšnih podrobnosti.
Kaj lahko narediš?
Android 4.1.0 in 4.1.1 uporabljata ranljivo različico OpenSSL. Glede na poročilo Blueboxa so poznejše različice tehnično ranljive, vendar je sistem za sporočanje srčnega utripa onemogočen, kar Heartbleedu ne da izkoristiti ničesar.
Če je v napravi Android nameščen 4.1.0 ali 4.1.1, po možnosti nadgradite. Če ne, Grangeia svetuje, da se "izogibajte povezovanju z neznanimi brezžičnimi omrežji, razen če nadgradite ROM."
Sistemi Linux, ki se povezujejo prek brezžičnega omrežja, so ranljivi, razen če je bil OpenSSL zakrpan. Tisti, ki uporabljajo take sisteme, bi morali dvakrat preveriti, ali so obliž nameščeni.
Kar zadeva korporacijska omrežja, ki uporabljajo EAP, Grangeia predlaga, da sistem preizkusijo pri SysValue ali drugi agenciji.
Maki, škatle Windows in naprave iOS ne vplivajo. Enkrat je v težavah Linux. Celotno objavo Grangeia lahko preberete tukaj ali si ogledate predstavitev diaprojekcije tukaj. Če ste sami raziskovalec, boste morda želeli pograbiti kodo in malo eksperimentirati.
