Pada tanggal 7 April 2014, OpenSSL menerima perbaikan celah kelemahan yang sangat populer dan kontroversial yaitu "The Heartbleed" . Pada saat itu, lebih dari setengah juta server web yang ditemukan rentan terhadap the Heartbleed.
Celah ini memungkinkan hacker untuk mengekstrak informasi dari memori server yang mungkin berisi kredensial otentikasi, cookies, kunci pribadi server (bahkan password admin), dan secara pribadi informasi yang dapat diidentifikasi (PII) yang dapat digunakan untuk pencurian identitas.
Situs-situs terbesar di internet yang rentan seperti Facebook, Google, Twitter, Instagram, Yahoo, Pinterest, Tumblr, Dropbox dan beberapa juta lebih. Semua situs ini dengan cepat mengumumkan, dalam beberapa minggu, bahwa mereka telah berhasil memperbaiki bug ini. Apa yang mereka tidak umumkan, adalah bahwa kerentanan ini ada bahkan 2 tahun yang lalu dan baru sekarang terungkap. Ini juga bagian dari alasan mengapa pengguna dianjurkan untuk mengubah semua password di mana-mana. NSA memiliki (diduga) telah menggunakan celah ini selama bertahun-tahun untuk mengeksploitasi situs.
OpenSSL perpustakaan enkripsi yang digunakan dalam HTTPS (HTTP aman). Jika Anda pernah melihat URL bar setelah mengetik alamat, mengatakan "google.com" Anda akan melihat bahwa secara otomatis berubah menjadi "https://www.google.com". Itu adalah tugas OpenSSL. OpenSSL pada dasarnya mengenkripsi semua komunikasi antara server dan klien sementara itu terjadi melalui URL HTTPS. Hal ini membuat semua hijack password, sniffing cookie menjadi tidak mungkin.
Selama komunikasi, OpenSSL menggunakan jabat tangan, atau lebih populer, "detak jantung" yang menggemakan kembali sinyal untuk memverifikasi bahwa data yang diterima dengan benar. Ini sedikit seperti memeriksa ganda apakah pesan itu berhasil diterima atau tidak (Seperti dua kutu menandai Anda dapat melihat pesan-pesan WhatsApp).
Untuk leibih tepatnya disebebut Heartbleed Vulnerability memungkinkan hacker untuk mengelabui OpenSSL dengan mengirimkan pesan yang disalahartikan oleh server yang menjalankan OpenSSL, yang kemudian benar-benar mengirimkan kembali data yang sebenarnya tanpa pertanyaan yang diajukan. Rincian yang tepat agak teknis, tapi berkat adanya Metasploit kita tidak perlu khawatir tentang mereka. Kira-kira diterjemahkan, satu byte data dikirim ke server mengatakan bahwa kita benar-benar dikirim 64K byte data. Server kemudian akan mengirim kembali 64K byte data yang akan diperiksa dan bergema kembali. Setelah ini 'detak jantung', server lagi mengirimkan 64K data acak dari memori. Itu 1 byte berisi permintaan kereta yang membingungkan server sehingga menyerahkan informasi acak. Jadi, dengan setiap 'detak jantung' kita mendapatkan 64KB informasi pribadi (Itu cukup untuk ~ 64.000 karakter dalam teks terenkripsi biasa. Banyak itu akan menjadi sampah tapi masih cukup untuk BANYAK account dan password)
0 komentar:
Posting Komentar