Creuser dans le battage médiatique: Heartbleed a-t-il réellement nui à quelqu'un?

Publicité

Le bug Heartbleed Heartbleed - Que pouvez-vous faire pour rester en sécurité? Lire la suite a fait l'objet de nombreuses tordues à la main et a été appelé un des violations de sécurité informatique les plus graves de tous les temps Un bogue massif dans OpenSSL met en danger une grande partie d'InternetSi vous faites partie de ces personnes qui ont toujours cru que la cryptographie open source est le moyen le plus sûr de communiquer en ligne, vous êtes un peu surpris. Lire la suite . Mais certaines personnes ne sont pas convaincues - après tout, qui a réellement blessé Heartbleed? Eh bien, il y a eu plusieurs attaques signalées de Heartbleed utilisées pour faire du mal. Si vous pensez que Heartbleed est tout à fait hype, détrompez-vous.

900 NAS volés à l'Agence du revenu du Canada

Au Canada, un attaquant a utilisé le bogue Heartbleed contre l'Agence du revenu du Canada, capturant environ 900 numéros d'assurance sociale (NAS) appartenant à des personnes déposant leurs déclarations de revenus. Il s'agit essentiellement de l'équivalent canadien d'un attaquant qui capture les numéros de sécurité sociale (SSN) de l'IRS aux États-Unis. Certaines données relatives aux entreprises canadiennes ont également été volées.

L'attaquant a été arrêté pour avoir capturé ces chiffres, mais nous ne savons pas si l'attaquant a vendu les NAS ou les a transmis à quelqu'un d'autre. Comme les numéros de sécurité sociale aux États-Unis, ces numéros ne sont généralement pas modifiables - ils ne peuvent être modifiés que si vous prouvez que vous avez été victime d'une fraude. Les contribuables concernés devront souscrire à un service de surveillance du crédit et suivre les personnes tentant d'ouvrir des comptes bancaires et des cartes de crédit en leur nom. Vol d'identité 6 signes d'avertissement de vol d'identité numérique que vous ne devriez pas ignorerLe vol d'identité n'est pas trop rare de nos jours, mais nous tombons souvent dans le piège de penser qu'il arrivera toujours à «quelqu'un d'autre». N'ignorez pas les panneaux d'avertissement. Lire la suite est une grave préoccupation ici.

Mumsnet et autres vols de mots de passe

Mumsnet a récemment annoncé qu'il obligeait tous les utilisateurs à changer leurs mots de passe. Ce n'était pas seulement une mesure préventive - Mumsnet avait des raisons de croire que les attaquants avaient eu accès aux mots de passe et aux messages privés appartenant à jusqu'à 1,5 million d'utilisateurs.

Ce n'est probablement pas le seul site Web à qui des mots de passe sensibles lui ont été volés. Si les gens sont faire la grosse erreur de réutiliser le même mot de passe sur plusieurs sites Web Guide de gestion des mots de passeNe vous sentez pas submergé par les mots de passe, ou utilisez simplement le même sur chaque site pour que vous vous en souveniez: concevez votre propre stratégie de gestion des mots de passe. Lire la suite , un attaquant peut accéder à d'autres comptes. Par exemple, si quelqu'un utilise le même mot de passe pour son compte Mumsnet et le compte de messagerie lié à son compte Mumsnet, l'attaquant peut accéder à ce compte de messagerie. À partir de là, l'attaquant peut réinitialiser d'autres mots de passe et accéder à d'autres comptes

Si vous avez reçu un e-mail d'un service vous conseillant de changer votre mot de passe et de vous assurer que vous n'utilisez pas le même ailleurs, il est possible que le service se soit fait voler ses mots de passe - ou qu'il se soit fait voler ses mots de passe et n'est pas sûr.

Détournement de VPN et vols de clés privées

La société de sécurité Mandiant a annoncé que les attaquants ont utilisé Heartbleed pour violer un VPN d'entreprise interne, ou réseau privé virtuel, appartenant à l'un de leurs clients. Le VPN utilisait authentification multifacteur Qu'est-ce que l'authentification à deux facteurs et pourquoi l'utiliser?L'authentification à deux facteurs (2FA) est une méthode de sécurité qui nécessite deux façons différentes de prouver votre identité. Il est couramment utilisé dans la vie quotidienne. Par exemple, payer avec une carte de crédit ne nécessite pas seulement la carte, ... Lire la suite , mais cela n'avait pas d'importance - - l'attaquant a pu voler des clés de chiffrement privées d'une appliance VPN avec l'attaque Heartbleed et a ensuite été capable de détourner l'activation de sessions VPN.

Nous ne savons pas quelle société a été attaquée ici - Mandiant vient d'annoncer qu'il s'agissait d'un société." Des attaques comme celle-ci pourraient être utilisées pour voler des données d'entreprise sensibles ou infecter des réseaux d'entreprise. Si les entreprises ne s'assurent pas que leurs réseaux ne sont pas vulnérables à Heartbleed, leur sécurité peut facilement être contournée.

La seule raison pour laquelle nous entendons parler de cela, c'est parce que Mandiant veut encourager les gens à sécuriser leur Serveurs VPN Les meilleurs services VPNNous avons compilé une liste de ce que nous considérons comme les meilleurs fournisseurs de services de réseau privé virtuel (VPN), regroupés par premium, gratuits et adaptés aux torrent. Lire la suite . Nous ne savons pas quelle société a été attaquée ici parce que les sociétés ne veulent pas annoncer qu'elles ont été compromises.

Ce n'est pas le seul cas confirmé d'utilisation de Heartbleed pour voler une clé de chiffrement privée de la mémoire d'un serveur en cours d'exécution. CloudFlare doutait que Heartbleed puisse être utilisé pour voler des clés de cryptage privées et a lancé un défi - essayez d'obtenir la clé de cryptage privée de notre serveur si vous le pouvez. Plusieurs personnes ont obtenu la clé privée en une seule journée.

Agences nationales de surveillance

En controverse, le bogue Heartbleed aurait pu être découvert et exploité par les agences de surveillance et de renseignement de l'État avant qu'il ne devienne public. Bloomberg a rapporté que la NSA exploite Heartbleed depuis au moins deux ans. le La NSA et la Maison Blanche l'ont démenti, mais le directeur du renseignement national James Clapper a déclaré que la NSA n'avait collecté aucune donnée sur des millions d'Américains avant que les activités de surveillance de la NSA ne soient connues, quelque chose nous savons maintenant que ce n'est pas vrai Qu'est-ce que PRISM? Tout ce que tu as besoin de savoirAux États-Unis, la National Security Agency a accès à toutes les données que vous stockez auprès de fournisseurs de services américains tels que Google Microsoft, Yahoo et Facebook. Ils surveillent également probablement la majeure partie du trafic qui traverse le ... Lire la suite . Nous savons aussi que les failles de sécurité des stocks de la NSA à utiliser contre les cibles de surveillance plutôt que de les signaler afin de pouvoir les corriger.

Hormis la NSA, il existe d'autres agences de surveillance étatiques dans le monde. Il est possible qu'une agence de surveillance publique d'un autre pays ait découvert ce bogue et l'utilise contre des cibles de surveillance, peut-être même des sociétés américaines et des agences gouvernementales. Nous ne pouvons rien savoir avec certitude ici, mais il est très possible que Heartbleed ait été utilisé pour l'espionnage activités avant sa divulgation - elle sera certainement utilisée à ces fins maintenant qu'elle est publique connaissance!

Nous ne savons tout simplement pas

Nous ne savons tout simplement pas encore combien de dégâts Heartbleed a fait. Les entreprises qui se retrouvent avec des brèches grâce à Heartbleed voudront souvent éviter de faire des annonces embarrassantes qui pourraient nuire à leur entreprise ou endommager leurs cours boursiers. Il est généralement plus facile de traiter le problème en interne plutôt que de le faire savoir au monde.

Dans de nombreux autres cas, les services ne savent pas qu'ils ont été mordus par Heartbleed. Grâce au type de demande utilisé par la vulnérabilité Heartbleed, les attaques Heartbleed n'apparaissent pas dans de nombreux journaux de serveur. Il apparaîtra toujours dans les journaux de trafic réseau si vous savez quoi rechercher, mais toutes les organisations ne savent pas quoi rechercher.

Il est également possible que le bogue Heartbleed ait été exploité dans le passé, avant qu'il ne devienne public. Il est possible que des cybercriminels ou - plus probablement - des agences de surveillance d'État aient découvert le bogue et l'aient utilisé. Les exemples ici ne sont qu'un aperçu des quelques choses que nous savons.

Le battage médiatique est justifié - il est important que nous mettions à jour les services et les appareils le plus rapidement possible pour aider à réduire les dommages et à éviter les pires attaques à l'avenir.

Crédit d'image: snoopsmas sur Flickr, ChrisDag sur Flickr