Heartbleed

A vulnerabilidade Heartbleed é um erro de programação na biblioteca de criptografia OpenSSL. O bug permite ao invasor adquirir informações importantes, incluindo nomes de usuários, senhas e chaves secretas de criptografia. A vulnerabilidade Heartbleed pode ser explorada sem interferência dos usuários, e dados privados podem ser adquiridos em 64kb de cada vez. Oficialmente, o Hearbleed é nomeado CVE- 2014-0160. As versões afetadas incluem o OpenSSL versão 1.0.1 e o 1.0.1f e 1.0.2 -beta. O bug do Heartbleed é único, porque é fácil de explorar e não deixa qualquer vestígio.

A vulnerabilidade Heartbleed envolve as extensões Heartbeat. Usuários afetados devem atualizar para o OpenSSL 1.0.1g.

O OpenSSL é utilizado por vários serviços de Internet, incluindo provedores de serviços de e-mail e fóruns. O Projeto OpenSSL foi fundado em 1998, a fim de criar uma ferramenta de criptografia, que são conhecidas por serem usadas por dois terços dos servidores web. O OpenSSL é usado para proteger sites governamentais, sites comerciais, sites de distribuição de software, e assim por diante. Estima-se que existam cerca de 1,4 milhão de servidores vulneráveis. Os prestadores de serviços devem corrigir o erro com o patch Heartbleed e incentivar os usuários a alterar suas senhas. A senha deve ser alterada somente quando a correção for implementada. Se você tiver contas de Facebook, Instagram, Pinterest, Tumblr, Google, Yahoo, Etsy, GoDaddy, Flickr, Minecraft, Netflix, SoundCloud, ou do YouTube, você deve alterar a sua senha de login. Não está claro se o Facebook está sendo afetado, porque nenhuma atividade suspeita foi detectada; no entanto, é aconselhável atualizar suas senhas, a fim de evitar vazamentos de dados.

No que diz respeito à sistemas operacionais móveis, Apple iOS e Microsoft Phone não utilizam o OpenSSL, enquanto a BlackBerry relata que telefones BlackBerry não são afetados. Quanto ao Android, há relatos que o Android 4.1.1 é afetado.

É altamente aconselhável mudar a senha da conta periodicamente e usar senhas complexas. Segundo a Microsoft, contas Microsoft, Office 365, Yammer, Microsoft Azure e Skype não foram afetados pela vulnerabilidade Heartbleed.

A questão do Heartbleed é, em tese, conhecida pela Agência de Segurança Nacional dos EUA, que nega esta proposição. Alegadamente, a NSA não comenta o relatório sobre a vulnerabilidade e nega as acusações de estar consciente da vulnerabilidade.

O Heartbleed é considerado como uma das maiores falhas da história da Internet. Por exemplo, o governo canadense chegou a suspeitar que havia preenchimento eletrônico de imposto.