Bloomberg: АНБ два года пользовалось критической уязвимостью в OpenSSL Статьи редакции

Агентство национальной безопасности США (АНБ) знало о критической уязвимости Heartbleed в пакете шифрования OpenSSL, но не распространялось о ней. Об этом сообщает издание Bloomberg.

Как сообщили два анонимных источника Bloomberg, АНБ как минимум два года знало об уязвимости Heartbleed, которая позволяла получать из множества сайтов конфиденциальную информацию. По их словам, секретное агентство регулярно использовало баг для сбора разведывательной информации.

Используя Heartbleed, АНБ могло получать пароли и другие данные миллионов простых пользователей со всего мира. Официальный представитель агентства отказалась комментировать информацию издания.

Решение АНБ в национальных интересах держать в секрете информацию об уязвимости грозит возобновлением жарких споров о роли правительственных компьютерных экспертов, предупреждает Bloomberg. 

Позднее АНБ официально опровергло, что было осведомлено о Heartbleed до того, как это было известно публично. Агентство распространило заявление, где говорится, что исходя из национальных интересов, агентство бы предало уязвимость огласке, чем использовало для получения информации.

Уязвимость Heartbleed была обнаружена 7 апреля. Злоумышленник, зная о ней, мог так составить запрос к серверу, поддерживающему защищённое соединение с помощью пакета OpenSSL, что тот выдавал содержимое случайных участков своей оперативной памяти. В этих фрагментах могли находиться данные для шифрования, фрагменты переписок, имена пользователей, пароли и другие данные.

Использование бага оставалось бесследным. Всего он просуществовал около двух лет. Немецкий программист, добавивший уязвимый код в одну из функций OpenSSL, заявил, что это произошло из-за невнимательности его самого и человека, проверявшего предложенные правки.

Несмотря на потенциальную опасность Heartbleed, вопрос эффективности практического применения уязвимости остаётся открытым. Эксперты из компании CloudFlare, занимающейся защитой сайтов от DDoS-атак, в ходе тестов не смогли использовать обнаруженный баг для получения секретных ключей.

Они запустили конкурс, в рамках которого предложили всем желающим атаковать специальный сайт. Компания по защите данных Ionic Security, в свою очередь, предложили награду в 10 тысяч долларов тому, кто сможет успешно применить Heartbleed против тестового сайта CloudFlare. Через несколько часов объявился победитель — москвич Фёдор Индутный. На всю атаку у него ушло три часа.

{ "author_name": "Султан Сулейманов", "author_type": "self", "tags": ["\u0447\u0442\u043e_\u0442\u0430\u043a\u043e\u0435_heartbleed","\u0441\u043b\u0435\u0436\u043a\u0430","\u0430\u043d\u0431","openssl","heartbleed","heartbeat","cloudflare"], "comments": 12, "likes": 13, "favorites": 0, "is_advertisement": false, "subsite_label": "flood", "id": 50460, "is_wide": true, "is_ugc": true, "date": "Sat, 12 Apr 2014 03:17:25 +0400", "is_special": false }
0
12 комментариев
Популярные
По порядку
Написать комментарий...
Бывший крюк

Мне тут один анонимный источник сообщил, что уже 4 года существует ещё одна дырка в OpenSSL, позволяющая получить дамп памяти, но не сказал как именно. После сообщения источник сжёгся.

6
Живой Петя

"АНБ как минимум два года знало об уязвимости Heartbleed", а Сноуден ни словом не обмолвился.

1
Интимный теркин30см

Сноуден упоминал, что АНБ в состоянии взламывать SSL, меня это очень удивило, так я считала что они взламывают шифрование.

1
Искренний холод

По вашей ссылке в комментах разве не пишут что уже хакнули сайт CloudFlare?

0
Церковный Артем

http://habrahabr.ru/post/219109/
хакнули, да

1
Ценный вентилятор

Breaking news!
https://twitter.com/ZekeJMiller/status/454721511283109888/photo/1
Коротко: Совет национальной безопасности США официально опровергает статью Bloomberg.

0
Интимный теркин30см

Уже поздно, их уже и так все ненавидят. Скоро активисты и борцы за анонимность и защиту информации раздуют из этого еще больший пузырь, но так им надо, этим NSA.

0
Методический единорожек88

Звучит как 100% враньё. Сейчас как будто-бы дырку закрыли - АНБ обломили. =)
Собирали они информацию... как же. Да их самих-то через эту дыру никто не взломал ещё? Сноуден все файлы вынес у них из под носа, а кто-то ещё распространяет байки про то, что у АНБ всё под контролем... =)
Короче: жёлтая пресса этот Блумберг.

0
Либеральный спрей

что сложнее проверить на безопасность: компьютер или человека?

0
Холодный спрей

москвич Фёдор

Ни слова по-русски в твитторе.

0
Участковый кот

Ну всё, теперь АНБ знает, какие кружевные трусики я заказывал...

0
Красивый Петя

Нужно запретить коммитеру пользоваться компьютерами, лол.

–1
Читать все 12 комментариев
null