Bug Heartbleed, dati a rischio per il 66% dei siti web https

[Redazione di Hardware Upg]

Link all'Articolo: http://www.hwupgrade.it/articoli/sic...tps_index.html

Le fonti internazionali parlano di una delle vulnerabilità più pericolose della storia dell'informatica, e con ottime ragioni: a rischio sono tutti i dati passati attraverso protocollo HTTPS, se la versione implementata di OpenSSL era nella versione 1.0.1 fino alla versione f

Click sul link per visualizzare l'articolo.

[songohan]

Purtroppo e' inutile girarci intorno.
La sicurezza online NON esiste.
Chi ha un interesse maggiore della spesa nel craccare un sistema, lo fara'. Altrimenti no.

Giulio.

[Dun]

Da mettere in conto, per gli utenti, un cambio completo delle password, anche se è meglio aspettare ancora un po' affinché chi non ha ancora aggiornato OpenSSL alla versione 1.0.1f lo faccia, altrimenti non serve a nulla.

Errato. Bisogna anche aspettare che chi amministri il server richieda un nuovo certificato utilizzando una nuova chiave privata.

Saluti,
Stefano

[piererentolo]

Cambiare tutte le password???
E' la volta buona che ne scelgo una per tutti gli account

[gd350turbo]

E come facciamo a sapere, lato utente, che versione di openssl usa il server a cui ci colleghiamo ?

[lorenzo.c]

Originariamente inviato da gd350turbo

E come facciamo a sapere, lato utente, che versione di openssl usa il server a cui ci colleghiamo ?

Puoi testare se e' vulnerabile usando questo tool: http://filippo.io/Heartbleed/

[LucaZPF]

Mega menata.
Dei siti che frequento ancora nessuno si è espresso in merito, magari consigliandomi di cambiare password...

[dennyv]

Il 66% è un po' fuorviante. Diciamo che i sistemi mission critical sono, o dovrebbero, essere rimasti con il ramo 0.9.8 di OpenSSL. Ieri in tarda mattinata la maggior parte dei vendor nel mondo opensource avevano rilasciato aggiornamenti (RedHat, Canonical e le varie distro), anche vendor del calibro si Cisco si sono mossi.

La cosa che mi spaventa sono i software e firmware closed source. Chissà quanti usano OpenSSL, senza magari nemmeno citarlo nei credits, che mai riceveranno aggiornamenti.

[lorenzo.c]

Originariamente inviato da dennyv

Diciamo che i sistemi mission critical sono, o dovrebbero, essere rimasti con il ramo 0.9.8 di OpenSSL.

In teoria si, i rami oldstable sia di Debian che di CentOS sono sempre stati al sicuro. Le stable invece avevano dentro la versione buggata.

Originariamente inviato da dennyv

La cosa che mi spaventa sono i software e firmware closed source. Chissà quanti usano OpenSSL, senza magari nemmeno citarlo nei credits, che mai riceveranno aggiornamenti.

Gia', dovro' tenere d'occhio pure le immagini dei vari router

[gd350turbo]

Originariamente inviato da lorenzo.c

Puoi testare se e' vulnerabile usando questo tool: http://filippo.io/Heartbleed/

Testando i vari siti che uso abitualmente che usano https, nessuno risulta vulnerabile !

[Zifnab]

Originariamente inviato da gd350turbo

Testando i vari siti che uso abitualmente che usano https, nessuno risulta vulnerabile !

Vero, ma probabilmente perchè tutte le aziende coinvolte avranno fatto l'upgrade stamattina appena saputo la notizia.

Originariamente inviato da lorenzo.c

In teoria si, i rami oldstable sia di Debian che di CentOS sono sempre stati al sicuro. Le stable invece avevano dentro la versione buggata.

In effetti per una volta la pigrizia dei nostri sysadmins si è rivelata saggia

[pincapobianco]

nooo scopriranno tutte le mie amanti in giro per il web

[lorenzo.c]

Originariamente inviato da gd350turbo

Testando i vari siti che uso abitualmente che usano https, nessuno risulta vulnerabile !

Avranno aggiornato di recente... il problema e' quello che e' successo nei 2 anni in cui la falla era aperta.

[gd350turbo]

Originariamente inviato da lorenzo.c

Avranno aggiornato di recente... il problema e' quello che e' successo nei 2 anni in cui la falla era aperta.

Ah probabile...

Il problema è che non si può sapere se in questi due anni era chiusa o aperta !

[misterfrederx]

Ahah terribile, della serie
If((decodekey(key) && valid(certificate) && isCorrect(password)) || (1==1))
Passthrough();
Else
print("accesso RIGOROSAMENTE bloccato furbacchione");

[qiplayer]

Non c'è niente di meglio per un hacker se non informazioni di questo tipo. Braavi complimenti. Avete lavorato dietro stipendio per la sicurezza e una volta scoperta la falla l'avete condivisa. Maachebraaavii. Idiozie del nuovo millennio. C'era da fare un update e avvisare gli utenti banche e co che la versione attuale non è sicura PUNTO

[maxmax80]

"OpenSSL 1.0.1 è disponibile dal marzo del 2012, mentre la versione che risolve il problema è di due giorni fa. Come a dire che per due anni le transazioni sicure in realtà non lo sono state affatto, con tutte le potenziali conseguenze"

a mio avviso se fosse stata una vulnerabilità nota già in passato ne avremmo di certo già sentito parlare..

[lorenzo.c]

Originariamente inviato da misterfrederx

Ahah terribile, della serie
If((decodekey(key) && valid(certificate) && isCorrect(password)) || (1==1))
Passthrough();
Else
print("accesso RIGOROSAMENTE bloccato furbacchione");

Quasi http://git.openssl.org/gitweb/?p=ope...diff;h=96db902

[misterfrederx]

Originariamente inviato da lorenzo.c

Quasi http://git.openssl.org/gitweb/?p=ope...diff;h=96db902

Ah proprio "dimmi quanti byte vuoi leggere caro"

[LucaZPF]

Invasione di nuovi certificati stamattina ...chissà come mai