Erinevus lehekülje "Kasutaja:Kmarge/Heartbleed turvanõrkus" redaktsioonide vahel

resümee puudub
P
[[Fail:Heartbleed.svg|pisi|Heartbleed turvanõrkust esindav logo, mis loodi ühes üldsuses teadlikkuse tõstmise kampaaniaga<ref>{{Netiviide|Autor=John Biggs|URL=https://techcrunch.com/2014/04/09/heartbleed-the-first-consumer-grade-exploit/|Pealkiri=Heartbleed, The First Security Bug With A Cool Logo|Väljaanne=TechCrunch|Aeg=|Kasutatud=05.11.2018}}</ref>]]
'''Heartbleed turvanõrkus''' on [[haavatavus]] [[OpenSSL]] krüptograafiatarkvaras, mis on laialdaselt kasutusel olev implementatsioon [[Transpordikihi turbeprotokoll|transpordikihi turbeprotokollist (TLS)]]. Esimest korda tekkis turvanõrkus [[Tarkvara|tarkvaras]] aastal [[2012]] ning avalikuks sai see [[2014]]. aastal. Heartbleed turvanõrkust on võimalik ära kasutada sõltumata sellest, kas haavatav OpenSSL instants jookseb TLS [[Server|serveri]] või [[Klient (infotehnoloogia)|kliendina]]. Heartbleed turvanõrkuse avastamist raskendas asjaolu, et selle [[ekspluatatsioon]] ei jäta logidesse jälge viitamaks ühelegi anomaaliale.<ref>{{Netiviide|Autor=|URL=http://heartbleed.com/|Pealkiri=Heartbleed Bug|Väljaanne=heartbleed.com|Aeg=29.04.2014|Kasutatud=05.11.2018}}</ref>
 
== Ekspluatatsioon ==
Turvanõrkus on mittekorrektse sisendivalideerimise tulemus TLSi Heartbeat laienduses.<ref name=":0">{{Netiviide|Autor=Anil Gajawada|URL=https://www.synopsys.com/blogs/software-security/heartbleed-bug/|Pealkiri=Heartbleed Bug: How It Works and How to Avoid Similar Bugs in the Future|Väljaanne=Synopsys|Aeg=06.09.2016|Kasutatud=05.11.2018}}</ref> Sellest tuleneb ka turvanõrkuse nimi.<ref>{{Netiviide|Autor=Eric Limer|URL=https://gizmodo.com/how-heartbleed-works-the-code-behind-the-internets-se-1561341209|Pealkiri=How Heartbleed Works: The Code Behind the Internet's Security Nightmare|Väljaanne=Gizmodo|Aeg=09.04.2014|Kasutatud=05.11.2018}}</ref> Kuna Heartbeat päringutes puudusid täiendavad piirikontrollid pikkuse (ingl ''length'') ja lasti (ingl ''payload'') väljadel ning lisaks usaldati teistelt masinatelt saadud andmeid, saatis päringule vastav masin kogemata välja iseenda [[Mälu (arvuti)|mäluandmeid]]. Krüpteeritud TLS käepigistuse (ingl ''handshake'') käigus saadavad kaks masinat üksteisele Heartbeat sõnumeid. <nowiki>RFC 6520</nowiki> kohaselt peab Heartbeat vastus sisaldama täpset koopiat Heartbeat päringus sisalduvatest andmetest. Heartbeat vastuse kättesaamisel kirjutab masin lasti andmed enda mällu ja kopeerib sisu oma vastusesse tagasi. Pikkuse väli tähistab lasti pikkust. OpenSSL hõivab mälu pikkuse välja alusel ning kopeerib seejärel lasti vastusesse memcpy() abil. Ründajad saavad Heartbeat päringuid saata pikema pikkuse välja väärtusega kui lasti välja väärtus tegelikkuses on. Masinas jooksvad OpenSSL [[Protsess|protsessid]], mis Heartbeat päringule vastavad, ei verifitseeri, et lasti suurus vastaks pikkuse väljas defineeritule. Seega kopeerib masin lastis sisalduvad üleliigsed (pahatahtlikud) andmed enda vastusesse. Üleliigsed [[Bait|baidid]] on lisaandmed kaugprotsessi mälus.<ref name=":0" />
 
== Mõjuulatus ==
 
== Lahendus ==
Haavatavust Heartbleedi suhtes on võimalik lahendada OpenSSL uuendamisega parandatud versioonile (1.0.1g või hilisem). OpenSSL-i on võimalik kasutada kas eraldiseisva programmina, dünaamilise jagatud objektina või staatiliselt ühendatud raamistikuna. Seega võib uuendamisprotsess nõuda OpenSSL-i haavatava versiooniga laetud protsesside taaskäivitamist ning lisaks ka staatiliselt ühenduses olnud programmide ja raamistike taasühendamist. Praktiliselt tähendab see OpenSSL-iga staatiliselt ühendatud pakettide uuendamist ning jooksvate programmide taaskäivitamist, et eemaldada mälusisene koopia vanast, haavatavast OpenSSL koodist. Peale haavatavuse parandamist peavad süsteemiadministraatorid tegelema potentsiaalse konfidentsiaalsuslekkega. Kuna Heartbleed lubas ründajatel omandada ligipääsu privaatsetele võtmetele, tuleb neid käsitleda kompromiteeritutena. Võtmepaarid tuleb uuesti genereerida ja neid kasutavad sertifikaadid uuesti väljastada, vanad sertifikaadid tuleb tagasi võtta. Heartbleed võis potentsiaalselt avalikustada ka teisi mälusiseseid saladusi, seega tuleb ka muu autentimismaterjal (näiteks paroolid) uuesti genereerida. Üksikutel juhtudel on siiski võimalik kindlaks teha, et süsteem, mis oli turvanõrkusest mõjutatud, ei saanud rünnaku osaliseks või kas mingi kindel osa informatsioonist lekkis.<ref>{{Netiviide|Autor=Hayden James|URL=https://haydenjames.io/patched-servers-remain-vulnerable-heartbleed-openssl/|Pealkiri=Patched Servers Remain Vulnerable to Heartbleed OpenSSL|Väljaanne=haydenjames.io|Aeg=10.04.2014|Kasutatud=05.11.2018}}</ref>
 
== Viited ==
846

muudatust