Shodan Report 2017 è lo studio che, condotto sulla base del famoso motore di ricerca per device connessi, ha permesso di identificare la persistente esistenza di Heartbleed. Il famoso bug che nell’aprile del 2014 aveva tolto il velo a un pericoloso contesto di insicurezza informatica, continua a mettere a repentaglio la vita di oltre 200.000 dispositivi in tutto il mondo, con in testa quelli attivi negli Stati Uniti (42.000), Sud Corea (15.000), Cina (14.000), Germania (14.000) e Francia (8.000). Stando alla ricerca, l’Italia è ultima (per fortuna) nella top ten, con 4.845 sistemi vulnerabili alla falla OpenSSL.

Cosa succede

Ma come è possibile che a distanza di così tanto tempo ci sia ancora il rischio di cadere vittima di un bug così conosciuto? Il problema è che tante aziende, clienti di determinati prodotti, hanno continuato a usare sistemi deboli, sia per noncuranza che totale assenza di informazione su ciò che Heartbleed rappresenta realmente. Se i software più conosciuti hanno ricevuto patch dai loro sviluppatori, ci sono tante soluzioni in-house del tutto scoperte, che potrebbero essere attaccate in qualsiasi momento da hacker o malintenzionati in grado di sfruttare il buco. A tal proposito, ricordiamo come le strutture interessate sono quelle che usano la libreria OpenSSL e non le altre implementazioni TLS, non affette dal difetto. Online ci sono diverse piattaforme che permettono di testare la correttezza del proprio archivio oltre al sito ufficiale con tutte le informazioni.

L'articolo Heartbleed: dopo oltre 2 anni è ancora pericoloso proviene da Data Manager Online.

Una nuova vulnerabilità di rete è stata scoperta da alcuni ricercatori di sicurezza, provenienti da vari poli universitari, tra cui Tel Aviv, Michigan e Pennsylvania. Il tema ha prodotto un documento ufficiale in cui, per la prima volta, si legge il termine DROWN, ovvero la particolare vulnerabilità che interesserebbe una vasta gamma di siti web attualmente in uso. DROWN sta per Decrypting RSA with Obsolete and Weakened eNcryption, e si riferisce ad una debolezza insista nei protocolli di rete HTTPS, TLS e SSL, che permetterebbe ad un aggressore di interporsi nel traffico genuino per re-indirizzare le richieste degli utenti verso altri siti, che usano la stessa chiave crittografica privata su un server SSLv2.

Cosa fare

Secondo la ricerca, circa un quarto dei domini top-level HTTPS e un terzo di tutti i siti web attivi sarebbero vulnerabili all’attacco. “DROWN mostra che il solo supporto all’SSLv2 è un pericolo per i server e i client moderni. Questo permette ad un aggressore di decriptare le connessioni TLS proprio tra client e server, ingannando il traffico tramite l’invio di una stessa chiave privata”. Al momento, per proteggere la rete dalla vulnerabilità, e in attesa che arrivi un aggiornamento di sicurezza sostanziale, gli amministratori dovrebbero assicurarsi che le loro private key non vengano utilizzate con programmi che permettono connessioni SSLv2. Questi includono web server, server SMTP, IMAP e POP e altre tipologie di software.

L'articolo Ci risiamo: 11 milioni di siti OpenSSL a rischio hacker proviene da Data Manager Online.

La buona notizia è che da quando è stato scoperto, quasi due mesi fa, il bug Heartbleed che rendeva la libreria di crittografia OpenSSL altamente vulnerabile, ha smesso di “mettere paura” a più di 600 mila server vulnerabili. Molti riguardavano grandi siti e potali, tra cui i client di big della rete, ma anche piattaforme minori comunque decise a proteggersi contro il bug. La cattiva notizia è che invece, secondo l’agenzia di sicurezza Errata, sarebbero ancora 300 mila i server vulnerabili perchè ancora non patchati contro il bug Heartbleed. Sebbene nei primi giorni il numero di server violabili sia calato vistosamente, subito dopo si è andato attestando, fermandosi a quota 300 mila. Nelle ultime settimane meno del 3% dei siti web ancora infetti ha risolto il problema, installando la patch.

Cosa fare?

La miglior precauzione, quando si naviga sul web, è tener presente le principali misure di sicurezza. Sebbene i siti principali risultino oramai protetti (almeno da questo bug), potreste incrociarne ancora dei vulnerabili, magari in procinto di ricevere i vostri dati personali per una registrazione, una spedizione, e così via. Come fare allora? Se si tratta di un ordine (magari da un produttore locale che non conosceva nemmeno la problematica Heartbleed) si può proseguire al telefono o via fax, per bloccare la merce che si desidera e poi pagare alla ricezione. Newsletter e servizi affini posso invece attendere, se non siete sicuri che il sito abbia l’ultima versione di OpenSSL.

L'articolo Heartbleed? Non è ancora finita proviene da Data Manager Online.

Heartbleed, il baco che ha invalidato la crittografia OpenSSL, ha infettato siti, app e persino Android e alcuni si sono addirittura chiesti se dopo il suo passaggio Internet avesse bisogno di un reset. Nonostante i gravi danni provocati dal malware, sembra che siano pochissime le aziende che hanno preso efficaci contromisure per proteggersi dall’infezione. Da una ricerca di Netcraft, solo il 14% dei siti vulnerabili ha adottato i giusti rimedi.

Solo il 14% dei siti è protetto da Heartbleed

Netcraft ha scoperto che il 57% dei siti non ha preso alcuna contromisura contro Heartbleed. Fortunatamente questi portali vulnerabili non sono fra i più popolari della Rete ma ciò non significa che il pericolo sia da sottovalutare.

La società britannica di monitoraggio di Internet ha rilevato che solo il 14% delle aziende ha seguito l’esempio di Google mettendo in sicurezza i propri sistemi. Questi portali hanno revocato i vecchi certificati di autenticità generandone di nuovi con altre chiavi crittografiche. Una piccola percentuale (5%) ha invece effettuato questa operazione continuando a utilizzare codici di protezione vulnerabili.

L'articolo Heartbleed è ancora un pericolo per il 57% dei siti proviene da Data Manager Online.

Oggi è stato scoperto uno dei responsabili di Heartbleed, il virus che ha sta terrorizzando il web. Il Wall Street Journal afferma che la polizia canadese ha arrestato il 19enne Stephen Arthuro Solis-Reyes. Il giovane hacker avrebbe sfruttato il bug, che ha infettato Android e numerose altre app, per rubare dati dai server dell’Agenzia delle Entrate del Paese nordamericano.

Primo arresto per Heartbleed

Solis-Reyes è uno studente della Western University, nell’Ontario, e figlio di un professore di “computer science” presso lo stesso ateneo. I computer del giovane sono stati sequestrati per accertare come i dati rubati con Heartbleed, che potrebbe provocare un rallentamento della Rete, siano stati utilizzati. Le autorità ancora non sanno se Solis-Reyes abbia lavorato da solo. L’arresto è arrivato due giorni dopo l’annuncio dell’Agenzia delle Entrate canadese che circa 900 numeri di assicurazione sociale erano stati rimossi dai propri server.

L'articolo Primo arresto per Heartbleed: l’hacker è un 19enne canadese proviene da Data Manager Online.

Lo sforzo di trovare una soluzione a Heartbleed, l’oramai famoso bug che ha colpito la libreria crittografica OpenSSL, potrebbe rappresentare un boomerang, almeno all’inizio. Le preoccupazioni degli esperti del settore vertono tutte sulla necessità, per centinaia di migliaia di siti web, di aggiornare il proprio protocollo ed evitare di incorrere nel pericolo di intrusione di terzi permessa da Heartbleed. 

Congestione in vista

Questa corsa al riparo però potrebbe portare seri rallentamenti nella rete da qui alle prossime settimane quando le varie aziende che hanno un sito vulnerabile aggiorneranno i portali nello stesso momento o a distanza di poche ore. Secondo quanto riporta il Washington Post, non è remota la possibilità che si formi una congestione del genere. “Il prossimo passo – si legge – è per i 500 mila siti vulnerabili, da quello dedicato alle mamme e papà alle grandi compagnie, che devono revocare i loro certificati di sicurezza ed emetterne dei nuovi. Nonostante rappresenti un processo necessario, l’aggiornamento potrebbe avere conseguenze pesanti sull’esperienza di navigazione di ogni giorno”.

La causa del rallentamento

Molto dipenderebbe dal tempo di acquisizione dei certificati di un sito, che avviene ogni volta che si visita una pagina. Visto che ogni web site cambia raramente i suoi certificati, la lista che viene scaricata ogni volta è molto breve. Il problema è che l’aggiornamento per curarsi da Heartbleed ha causato un cambio di quei certificati scaricati quotidianamente dal computer di un utente, così quando si comincerà a visitare un sito “aggiornato”, la lista da scaricare sarà più lunga, con un evidente attesa nei tempi di accesso. Moltiplicate questo per 500 mila siti web…

L'articolo Heartbleed causerà un rallentamento della Rete proviene da Data Manager Online.

E’ il New York Times a lanciare la notizia sconcertante: il Presidente Barack Obama avrebbe dato il via libera alla NSA di cercare (e utilizzare) eventuali falle nei software e protocolli utilizzati in rete. Il vertice del governo USA conosceva tali sistemi per consentire che si svolgessero tutte le normali operazioni di monitoraggio telematico per la prevenzione del terrorismo, seppur nel rispetto della privacy degli utenti. 

Cuore malato

Tuttavia pare che Obama avesse creato delle eccezioni da utilizzare in casi limite in cui si sentiva il bisogno di rinforzare le difesa di sicurezza nazionale, come i casi di presunti attacchi terroristici. Proprio in quei casi, la NSA non era obbligata a rendere pubblica la conocenza dello sfruttamente di bug e fragilità presenti su internet, sentendosi in dovere di continuare le fasi di exploit. Secondo il New York Times, la decisione di continuare tali procedure è stata presa a gennaio, ovvero poco prima che il presidente Obama dichiarasse le intenzioni di riformare la NSA. Nonostante questo, la scorsa settimana l’amministrazione USA ha negato fortemente di essere a conoscenza di Heartbleed, soprattutto dopo i primi articoli che parlano di un coinvolgimento, almeno dal 2012, della NSA.

L'articolo Heartbleed: Obama sapeva tutto? proviene da Data Manager Online.

C’è grande apprensione nel mondo del web. CloudFlare, società di Content Delivery Network, ha scoperto una falla nella libreria OpenSSL, software open source utilizzato per proteggere le connessioni SSL/TLS su protocollo https. Il baco, chiamato Heartbleed, è in funzione da marzo 2012 e ha teoricamente invalidato le password utilizzare per cifrare il traffico Internet. La notizia è stata confermata dalla stesso OpenSSL Project.

Il cuore di OpenSSL sanguina

Gli esperti ritengono che il bug possa permettere agli hacker di appropriarsi di 64 Kilobyte di memoria dai server rendendo pressoché inutili le password utilizzate per mettere in sicurezza i dati. Inoltre, i pirati potrebbero aver agito senza aver lasciato tracce digitali del proprio passaggio. Se si considera che OpenSSL è utilizzato per proteggere due terzi dei server nel mondo si capisce l’entità del problema.

Le versioni colpite dalla criticità sono: 1.0.1,1.0.2-beta, 1.0.1f e 1.0.2-beta1. Le esperti quindi consigliano di aggiornare la propria libreria all’update 1.0.1g. Per quanto riguarda l’ultima versione di OpenSSL bisognerà invece attendere la release 1.0.2-beta2.

L'articolo Un baco ha invalidato la crittografia di OpenSSL proviene da Data Manager Online.