Kryptografia / DATA PUBLICZNEGO OGŁOSZENIA
Heartbleed: wyciek pamięci przez TLS
Zaszyfrowane połączenie nie wystarcza, gdy biblioteka obsługująca szyfrowanie ujawnia pamięć procesu.
Co się wydarzyło?
Heartbleed wynikał z brakującej kontroli długości w mechanizmie heartbeat protokołu TLS. Podatna biblioteka mogła zwrócić do 64 KB pamięci w pojedynczej odpowiedzi. Błąd ogłoszono 7 kwietnia 2014 roku.
W ujawnionych fragmentach mogły znajdować się dane sesji, hasła lub materiał kryptograficzny. Nie oznacza to, że każda podatna instalacja utraciła wszystkie te informacje. Pierwszą poprawkę w gałęzi 1.0.1 zawierało wydanie 1.0.1g.
Co to oznacza dla administratora?
Przy wycieku pamięci aktualizacja jest początkiem reakcji. Trzeba też sprawdzić, czy mogły wyciec hasła, klucze lub inne poufne dane, potrzebę wymiany kluczy i unieważnienia sesji. Certyfikat HTTPS nie zastępuje aktualizacji bibliotek.