✖


Jump to content

Сердцекровие

Чтобы узнать о других значениях, см. Heartbleed (значения) .

Сердцекровие
Логотип, представляющий Heartbleed. Осведомленность и освещение Heartbleed в СМИ были необычно высокими из-за программной ошибки. [1] [2]
Идентификатор(ы) CVE CVE-2014-0160
Выпущенный 1 февраля 2012 г .; 12 лет назад ( 01.02.2012 )
Дата обнаружения 1 апреля 2014 г .; 10 лет назад ( 01.04.2014 )
Дата исправления 7 апреля 2014 г .; 10 лет назад ( 07.04.2014 )
Первооткрыватель
Затронутое программное обеспечение OpenSSL (1.0.1)
Веб-сайт кровотечение из сердца .с

Heartbleed — это ошибка безопасности в некоторых устаревших версиях библиотеки OpenSSL криптографической , которая представляет собой широко используемую реализацию протокола Transport Layer Security (TLS). Он был введен в программное обеспечение в 2012 году и публично раскрыт в апреле 2014 года. Heartbleed можно использовать независимо от того, работает ли уязвимый экземпляр OpenSSL в качестве TLS-сервера или клиента. Это произошло из-за неправильной проверки ввода (из-за отсутствия проверки границ ) при реализации расширения Heartbeat TLS . [5] Таким образом, название ошибки произошло от heartbeat . [6] Уязвимость была классифицирована как перечитка буфера . [7] ситуация, когда можно прочитать больше данных, чем разрешено. [8]

Heartbleed был зарегистрирован в базе данных Common Vulnerabilities and Exposures как CVE — 2014-0160 . [7] Федеральный канадский центр реагирования на киберинциденты выпустил бюллетень по безопасности, информирующий системных администраторов об этой ошибке. [9] Исправленная версия OpenSSL была выпущена 7 апреля 2014 года, в тот же день, когда было публично раскрыто Heartbleed. [10]

Реализации TLS, отличные от OpenSSL, такие как GnuTLS , Mozilla , не были затронуты , Network Security Services и реализация TLS на платформе Windows поскольку дефект существовал в реализации TLS OpenSSL, а не в самом протоколе. [11]

Системные администраторы часто не спешили устанавливать исправления для своих систем. По состоянию на 20 мая 2014 г. 1,5% из 800 000 самых популярных веб-сайтов с поддержкой TLS по-прежнему были уязвимы для Heartbleed. [12] По состоянию на 21 июня 2014 г. 309 197 общедоступных веб-серверов оставались уязвимыми. [13] По состоянию на 23 января 2017 г. , согласно отчету [14] Согласно Shodan , почти 180 000 подключенных к Интернету устройств все еще оставались уязвимыми. [15] [16] По состоянию на 6 июля 2017 г. , число упало до 144 000, согласно поиску на shodan.io по запросу «vuln:cve-2014-0160». [17] По состоянию на 11 июля 2019 г. , сообщил Шодан [18] что 91 063 устройства были уязвимы. На первом месте оказались США с 21 258 (23%), в первой десятке стран — 56 537 (62%), а в остальных странах — 34 526 (38%). В отчете устройства также разбиты по 10 другим категориям, таким как организация (в тройку лидеров вошли компании беспроводной связи), продукт ( Apache httpd , Nginx ) или услуга ( HTTPS , 81%).

История

[ редактировать ]

Расширение Heartbeat для протоколов Transport Layer Security (TLS) и Datagram Transport Layer Security (DTLS) было предложено в качестве стандарта в феврале 2012 года РФК   6520 . [19] Он обеспечивает возможность тестировать и поддерживать безопасные каналы связи без необходимости каждый раз заново согласовывать соединение. В 2011 году один из авторов RFC, Робин Зеггельманн, тогда доктор философии. Студент Fachhochschule Münster реализовал расширение Heartbeat Extension для OpenSSL. По просьбе Зеггельмана поместить результат его работы в OpenSSL, [20] [21] [22] его изменение было проверено Стивеном Н. Хенсоном, одним из четырех основных разработчиков OpenSSL. Хенсон не заметил ошибку в реализации Зеггельмана и 31 декабря 2011 года внес дефектный код в репозиторий исходного кода OpenSSL. Дефект распространился с выпуском версии OpenSSL 1.0.1 14 марта 2012 года. Поддержка Heartbeat была включена по умолчанию, что привело к затронутые версии будут уязвимы. [3] [23]

Открытие

[ редактировать ]

По словам Марка Дж. Кокса из OpenSSL, Нил Мехта из команды безопасности Google в частном порядке сообщил о Heartbleed команде OpenSSL 1 апреля 2014 г. в 11:09 UTC. [24]

Ошибка была названа инженером Synopsys Software Integrity Group, финской компании по кибербезопасности, которая также создала логотип с кровоточащим сердцем. [25] и запустил информационный сайт heartbleed.com. [26] Хотя служба безопасности Google первой сообщила о Heartbleed OpenSSL, Google и Codenomicon обнаружили его независимо друг от друга примерно в одно и то же время. [27] [28] Codenomicon сообщает, что 3 апреля 2014 года является датой их обнаружения и датой уведомления NCSC-FI [ fi ] для координации уязвимостей. [29]

На момент раскрытия информации около 17% (около полумиллиона) защищенных веб-серверов Интернета, сертифицированных доверенными органами, серверов считались уязвимыми для атак, что позволяло украсть секретные ключи , а также сеансовые файлы cookie и пароли пользователей. [30] [31] [32] [33] [34] Фонд электронных границ , [35] Арс Техника , [36] и Брюс Шнайер [37] все считали ошибку Heartbleed «катастрофической». Обозреватель Forbes по кибербезопасности Джозеф Стейнберг написал:

Некоторые могут возразить, что Heartbleed — это худшая обнаруженная уязвимость (по крайней мере, с точки зрения ее потенциального воздействия) с тех пор, как в Интернете начал проходить коммерческий трафик. [38]

Неназванный представитель кабинета министров Великобритании рекомендовал следующее:

Людям следует посоветоваться по смене паролей на веб-сайтах, которые они используют. Большинство веб-сайтов исправили ошибку и лучше всего могут посоветовать, какие действия следует предпринять людям (если таковые имеются). [39]

В день раскрытия информации The Tor Project сообщил:

Если вам нужна надежная анонимность или конфиденциальность в Интернете, возможно, вы захотите полностью держаться подальше от Интернета в течение следующих нескольких дней, пока все не уладится. [40]

Газета Sydney Morning Herald 15 апреля 2014 года опубликовала график обнаружения, показывающий, что некоторым организациям удалось исправить ошибку до ее публичного раскрытия. В некоторых случаях непонятно, как они узнали. [41]

Исправление ошибок и развертывание

[ редактировать ]

Бодо Мёллер и Адам Лэнгли из Google подготовили исправление для Heartbleed. Полученный патч был добавлен в систему отслеживания проблем Red Hat 21 марта 2014 года. [42] Стивен Н. Хенсон применил исправление к системе контроля версий OpenSSL 7 апреля. [43] В тот же день была выпущена первая исправленная версия 1.0.1g. По состоянию на 21 июня 2014 г. 309 197 общедоступных веб-серверов оставались уязвимыми. [13] По состоянию на 23 января 2017 г. , согласно отчету [14] от Shodan почти 180 000 подключенных к Интернету устройств по-прежнему оставались уязвимыми. [15] [16] По состоянию на 6 июля 2017 года это число упало до 144 000. , согласно поиску на shodan.io по запросу «vuln:cve-2014-0160». [17]

Продление и отзыв сертификата

[ редактировать ]

По данным Netcraft , около 30 000 из более чем 500 000 сертификатов X.509, которые могли быть скомпрометированы из-за Heartbleed, были перевыпущены к 11 апреля 2014 года, хотя меньшее количество было отозвано. [44]

К 9 мая 2014 года только 43% затронутых веб-сайтов повторно выдали свои сертификаты безопасности. Кроме того, в 7% перевыпущенных сертификатов безопасности использовались потенциально скомпрометированные ключи. Неткрафт заявил:

При повторном использовании одного и того же закрытого ключа сайт, пострадавший от ошибки Heartbleed, по-прежнему сталкивается с теми же рисками, что и те, которые еще не заменили свои SSL-сертификаты . [45]

eWeek заявил: «[Heartbleed], вероятно, останется риском в ближайшие месяцы, если не годы». [46]

Cloudflare отозвала все сертификаты TLS и подсчитала, что публикация списка отзыва сертификатов обойдется эмитенту GlobalSign в 400 000 долларов в месяц в этом году. [47]

Эксплуатация

[ редактировать ]

Налоговое управление Канады сообщило о краже номеров социального страхования, принадлежащих 900 налогоплательщикам, и заявило, что доступ к ним был получен с помощью уязвимости в течение 6-часового периода 8 апреля 2014 года. [48] После обнаружения атаки агентство закрыло свой веб-сайт и продлило срок подачи деклараций налогоплательщиками с 30 апреля до 5 мая. [49] Агентство заявило, что будет бесплатно предоставлять услуги по защите кредитов всем пострадавшим. 16 апреля КККП объявила, что предъявила обвинение студенту-компьютерщику в краже с несанкционированным использованием компьютера и причинением вреда данным . [50] [51]

На британском сайте для родителей Mumsnet было взломано несколько учетных записей пользователей, а его генеральный директор выдавал себя за другого. [52] Позже сайт опубликовал объяснение инцидента, в котором говорилось, что это произошло из-за Heartbleed, и технический персонал оперативно исправил ситуацию. [53]

Исследователи, занимающиеся защитой от вредоносных программ, также использовали Heartbleed в своих целях, чтобы получить доступ к секретным форумам, используемым киберпреступниками. [54] Также проводились исследования путем намеренной настройки уязвимых машин. Например, 12 апреля 2014 года как минимум два независимых исследователя смогли украсть закрытые ключи с экспериментального сервера, намеренно созданного для этой цели CloudFlare . [55] [56] Кроме того, 15 апреля 2014 года Дж. Алекс Халдерман , профессор Мичиганского университета , сообщил, что его сервер- приманка , намеренно уязвимый сервер, предназначенный для привлечения атак с целью их изучения, подвергся многочисленным атакам, исходящим из Китая. Хальдерман пришел к выводу, что, поскольку это был довольно малоизвестный сервер, эти атаки, вероятно, были масштабными атаками, затрагивающими большие области Интернета. [57]

В августе 2014 года стало известно, что уязвимость Heartbleed позволила хакерам украсть ключи безопасности у Community Health Systems , второй по величине коммерческой сети больниц США в США, ставя под угрозу конфиденциальность 4,5 миллионов записей пациентов. Нарушение произошло через неделю после того, как Heartbleed была впервые обнародована. [58]

Возможные предварительные знания и использование

[ редактировать ]

Многие крупные веб-сайты исправили ошибку или отключили расширение Heartbeat в течение нескольких дней после его объявления. [59] однако неясно, знали ли об этом потенциальные злоумышленники ранее и в какой степени этим воспользовались. [ нужна ссылка ]

На основании изучения журналов аудита, проведенного исследователями, было сообщено, что некоторые злоумышленники могли использовать уязвимость в течение как минимум пяти месяцев до ее обнаружения и объявления. [60] [61] Errata Security отметила, что широко используемая невредоносная программа под названием Masscan , представленная за шесть месяцев до раскрытия Heartbleed, внезапно разрывает соединение в середине рукопожатия так же, как Heartbleed, генерируя те же сообщения журнала сервера, добавляя «Две новые вещи создание одних и тех же сообщений об ошибках может показаться, что они коррелируют, но, конечно, это не так. [62] "

По сообщению Bloomberg News США , два неназванных инсайдерских источника сообщили, что Агентство национальной безопасности знало об уязвимости вскоре после ее появления, но — «вместо того, чтобы сообщать о ней» — держало ее в секрете среди других незарегистрированных уязвимостей нулевого дня , чтобы использовать это в собственных целях АНБ. [63] [64] [65] АНБ опровергло это утверждение. [66] как и Ричард Кларк , член Национальной разведывательной группы по разведывательным и коммуникационным технологиям , которая анализировала политику электронного наблюдения США; 11 апреля 2014 года он сообщил Reuters, что АНБ не знало о Heartbleed. [67] Это обвинение побудило американское правительство впервые сделать публичное заявление о своей политике в отношении уязвимостей нулевого дня, приняв рекомендацию отчета группы обзора за 2013 год, в котором утверждалось, что «почти во всех случаях для широко используемого кода в национальных интересах устранить уязвимости программного обеспечения, а не использовать их для сбора разведывательной информации США», и заявив, что решение о сдерживании должно быть передано от АНБ к Белому дому. [68]

Поведение

[ редактировать ]
Изображение Heartbleed.

Расширение RFC 6520 Heartbeat проверяет защищенные каналы связи TLS/DTLS, позволяя компьютеру на одном конце соединения отправлять сообщение Heartbeat Request , состоящее из полезных данных, обычно текстовой строки, а также длины полезных данных в виде 16-битного целого числа. . Затем принимающий компьютер должен отправить точно такую ​​же полезную нагрузку обратно отправителю. [ нужна ссылка ]

Затронутые версии OpenSSL выделяют буфер памяти для возвращаемого сообщения на основе поля длины в запрашивающем сообщении, без учета фактического размера полезных данных этого сообщения. Из-за этой неспособности выполнить правильную проверку границ возвращаемое сообщение состоит из полезных данных, за которыми, возможно, следует все остальное, что оказалось в выделенном буфере памяти. [ нужна ссылка ]

Таким образом, Heartbleed используется путем отправки искаженного запроса Heartbeat с небольшой полезной нагрузкой и полем большой длины уязвимой стороне (обычно серверу), чтобы получить ответ жертвы, что позволяет злоумышленникам прочитать до 64 килобайт памяти жертвы, что, вероятно, было ранее использовался OpenSSL. [69] Если запрос Heartbeat может попросить сторону «отправить обратно четырехбуквенное слово «птица»», что приведет к ответу «птица», «Heartbleed Request» (злонамеренный запрос Heartbeat) «отправить обратно 500-буквенное слово». слово «птица» заставило бы жертву вернуть слово «птица», за которым следовали бы любые 496 последующих символов, которые жертва имела в активной памяти. Злоумышленники таким образом могли получить конфиденциальные данные, ставя под угрозу конфиденциальность сообщений жертвы. Хотя злоумышленник имеет некоторый контроль над размером раскрытого блока памяти, он не может контролировать его местоположение и, следовательно, не может выбирать, какое содержимое раскрывается. [ нужна ссылка ]

Затронутые установки OpenSSL

[ редактировать ]

Затронутые версии OpenSSL — OpenSSL с 1.0.1 по 1.0.1f (включительно). Последующие версии (1.0.1g [70] и более поздние версии) и предыдущие версии (ветвь 1.0.0 и старше) не уязвимы. [71] Установки затронутых версий уязвимы, если OpenSSL не был скомпилирован с -DOPENSSL_NO_HEARTBEATS . [72] [73]

Уязвимая программа и функция

[ редактировать ]

Уязвимыми исходными файлами программы являются t1_lib.c и d1_both.c, а уязвимыми функциями являются tls1_process_heartbeat() и dtls1_process_heartbeat(). [74] [75]

Пластырь

[ редактировать ]

Проблему можно решить, игнорируя сообщения Heartbeat Request, которые запрашивают больше данных, чем требуется для их полезной нагрузки, как того требует RFC.

Версия 1.0.1g OpenSSL добавляет некоторые проверки границ, чтобы предотвратить перечитывание буфера. Например, был введен следующий тест, чтобы определить, вызовет ли запрос Heartbeat запрос Heartbleed; он молча отклоняет вредоносные запросы. 

if (1 + 2 + payload + 16 > s->s3->rrec.length) return 0; /* silently discard per RFC 6520 sec. 4 */

Система контроля версий OpenSSL содержит полный список изменений. [43]

Влияние

[ редактировать ]

Данные, полученные в результате атаки Heartbleed, могут включать в себя незашифрованный обмен данными между сторонами TLS, которые могут быть конфиденциальными, включая любые данные формы в запросах пользователей. Более того, раскрытые конфиденциальные данные могут включать в себя секреты аутентификации, такие как файлы cookie сеанса и пароли, которые могут позволить злоумышленникам выдать себя за пользователя службы. [76]

Атака может также раскрыть секретные ключи скомпрометированных сторон. [3] [77] что позволит злоумышленникам расшифровать сообщения (будущий или прошлый сохраненный трафик, перехваченный с помощью пассивного подслушивания, если не полная прямая секретность используется , и в этом случае только будущий трафик может быть расшифрован, если он перехвачен с помощью атак «человек посередине» ). [ нужна ссылка ]

Злоумышленник, получивший аутентификационные материалы, может выдавать себя за владельца материала после того, как жертва исправила Heartbleed, при условии, что материал будет принят (например, до тех пор, пока не будет изменен пароль или не отозван закрытый ключ). Таким образом, Heartbleed представляет собой серьезную угрозу конфиденциальности. Однако злоумышленник, выдающий себя за жертву, также может изменить данные. Таким образом, косвенно последствия Heartbleed могут выходить далеко за рамки нарушения конфиденциальности многих систем. [78]

Опрос взрослых американцев, проведенный в апреле 2014 года, показал, что 60 процентов слышали о Heartbleed. Среди тех, кто пользуется Интернетом, 39 процентов защитили свои онлайн-аккаунты, например, изменив пароли или аннулировав учетные записи; 29 процентов считали, что их личная информация подверглась риску из-за ошибки Heartbleed; и 6 процентов считали, что их личная информация была украдена. [79]

Уязвимость на стороне клиента

[ редактировать ]

Хотя ошибка привлекла больше внимания из-за угрозы, которую она представляет для серверов, [80] Клиенты TLS, использующие затронутые экземпляры OpenSSL, также уязвимы. В результате того , что The Guardian назвала Reverse Heartbleed , вредоносные серверы могут использовать Heartbleed для чтения данных из памяти уязвимого клиента. [81] Исследователь безопасности Стив Гибсон сказал о Heartbleed следующее:

Это не только уязвимость на стороне сервера, но и уязвимость на стороне клиента, поскольку сервер или тот, к кому вы подключаетесь, может запросить у вас контрольное сообщение так же, как и вы. [82]

Украденные данные могут содержать имена пользователей и пароли. [83] Reverse Heartbleed затронул миллионы экземпляров приложений. [81] Некоторые из уязвимых приложений перечислены в разделе «Программные приложения» ниже . [ нужна ссылка ]

Затронуты конкретные системы

[ редактировать ]

Cisco Systems определила 78 своих продуктов как уязвимые, включая системы IP-телефонии и системы телеприсутствия (видеоконференций). [84]

Веб-сайты и другие онлайн-сервисы

[ редактировать ]

Анализ опубликованный на GitHub наиболее посещаемых веб-сайтов, 8 апреля 2014 года, выявил уязвимости на сайтах, включая Yahoo! , Imgur , Stack Overflow , Slate и DuckDuckGo . [85] [86] Следующие сайты затронули службы или сделали объявления, рекомендующие пользователям обновить пароли в ответ на ошибку:

Федеральное правительство Канады временно закрыло онлайн-сервисы Канадского налогового агентства (CRA) и нескольких правительственных ведомств из-за проблем с безопасностью Heartbleed. [111] [112] До закрытия онлайн-сервисов CRA хакер получил около 900 номеров социального страхования . [113] [114] другого канадского правительственного агентства, Статистического управления Канады , были скомпрометированы из-за этой ошибки, а также временно отключены от сети. Серверы [115]

Сопровождающие платформы, такие как Фонд Викимедиа, посоветовали своим пользователям сменить пароли. [108]

Серверы LastPass были уязвимы, [116] но из-за дополнительного шифрования и прямой секретности потенциальные атаки не смогли использовать эту ошибку. Однако LastPass рекомендовал своим пользователям сменить пароли для уязвимых веб-сайтов. [117]

Проект Tor рекомендовал операторам ретрансляции Tor и операторам скрытых услуг отзывать и генерировать новые ключи после исправления OpenSSL, но отметил, что ретрансляторы Tor используют два набора ключей и что многоскачковая конструкция Tor сводит к минимуму влияние использования одного ретранслятора. [40] 586 реле, как позже выяснилось, подвержены ошибке Heartbleed, были отключены от сети в качестве меры предосторожности. [118] [119] [120] [121]

Сервисы, связанные с игрой, включая Steam , Minecraft , Wargaming , League of Legends , GOG.com , Origin , Sony Online Entertainment , Humble Bundle и Path of Exile , были затронуты и впоследствии исправлены. [122]

Программные приложения

[ редактировать ]

К уязвимым программным приложениям относятся:

  • Несколько серверных приложений Hewlett-Packard , например домашняя страница HP System Management (SMH) для Linux и Windows. [123]
  • Некоторые версии FileMaker 13 [124]
  • LibreOffice 4.2.0–4.2.2 (исправлено в версии 4.2.3) [125] [126]
  • LogMeIn заявила, что «обновила многие продукты и части наших сервисов, основанных на OpenSSL». [127]
  • Множество продуктов McAfee , в частности некоторые версии программного обеспечения, обеспечивающие антивирусную защиту Microsoft Exchange, программные брандмауэры, а также почтовые и веб-шлюзы McAfee. [128]
  • Oracle MySQL Connector/C 6.1.0-6.1.3 и Connector/ODBC 5.1.13, 5.2.5-5.2.6, 5.3.2 [129]
  • Oracle Big Data Appliance (включая Oracle Linux 6) [129]
  • Primavera P6 Professional Project Management (включает Primavera P6 Enterprise Project Management Portfolio Management) [129]
  • WinSCP (FTP-клиент для Windows) 5.5.2 и некоторые более ранние версии (уязвимо только при использовании FTP через TLS/SSL, исправлено в версии 5.5.3) [130]
  • Множество VMware продуктов , включая VMware ESXi 5.5, VMware Player 6.0, VMware Workstation 10 и серию продуктов Horizon, эмуляторов и пакетов облачных вычислений. [131]

несколько других приложений Oracle Corporation . Были затронуты [129]

Операционные системы/прошивка

[ редактировать ]

Были затронуты несколько дистрибутивов Linux, включая Debian. [132] (и производные, такие как Linux Mint и Ubuntu [133] ) и Red Hat Enterprise Linux [134] (и производные, такие как CentOS , [135] Оракул Линукс 6 [129] и Амазон Линукс [136] ), а также следующие операционные системы и прошивки:

  • Android 4.1.1, используемый в различных портативных устройствах. [137] Крис Смит пишет в Boy Genius Report , что затронута только эта версия Android, но это популярная версия Android ( Chitika утверждает, что версия 4.1.1 установлена ​​на 50 миллионах устройств; [138] Google описывает это как менее 10% активированных устройств Android). Другие версии Android не уязвимы, поскольку в них либо отключена тактовая частота, либо используется незатронутая версия OpenSSL. [139] [140]
  • Прошивка для некоторых AirPort базовых станций [141]
  • Прошивка для некоторых Cisco Systems маршрутизаторов [84] [142] [143]
  • Прошивка для некоторых Juniper Networks роутеров [143] [144]
  • pfSense 2.1.0 и 2.1.1 (исправлено в версии 2.1.2) [145]
  • Версии DD-WRT между 19163 и 23881 включительно (исправлено в 23882) [146]
  • Western Digital My Cloud Прошивка семейства продуктов [147]

Услуги по тестированию уязвимостей

[ редактировать ]

Для проверки того, влияет ли Heartbleed на конкретный сайт, доступно несколько служб. Однако многие службы признаны неэффективными для обнаружения ошибки. [148] Доступные инструменты включают в себя:

  • Tripwire SecureScan [149]
  • AppCheck — статическое двоичное сканирование и фаззинг от Synopsys Software Integrity Group (ранее Codenomicon) [150]
  • Аналитика безопасности Pravail от Arbor Network [151]
  • Инструмент проверки кровотечения Norton Safeweb Heartbleed [152]
  • Инструмент тестирования Heartbleed от европейской компании в области ИТ-безопасности [153]
  • Тест Heartbleed от итальянского криптографа Филиппо Вальсорды [154]
  • Тест уязвимости Heartbleed от Cyberoam [155]
  • Critical Watch Бесплатный онлайн-тестер Heartbleed [156]
  • Metasploit Heartbleed Модуль сканера [157]
  • Серверный сканер Heartbleed от Rehmann [158]
  • Lookout Mobile Security Heartbleed Detector — приложение для устройств Android , которое определяет версию OpenSSL устройства и указывает, включено ли уязвимое сердцебиение. [159]
  • Проверка Heartbleed, организованная LastPass [160]
  • Онлайн-сканер сетевого диапазона на наличие уязвимости Heartbleed от Pentest-Tools.com [161]
  • Официальный офлайн-сканер Red Hat, написанный на языке Python. [162]
  • Тест SSL-сервера Qualys SSL Labs [163] который не только ищет ошибку Heartbleed, но также может найти другие ошибки реализации SSL/TLS.
  • Расширения браузера, такие как Chromebleed [164] и FoxBleed [165]
  • SSL-диагностика [166]
  • CrowdStrike Heartbleed Сканер [167] – Сканирует маршрутизаторы, принтеры и другие устройства, подключенные к сети, включая веб-сайты интрасети. [168]
  • Отчет о сайте Netcraft [169] – указывает, может ли конфиденциальность веб-сайта быть поставлена ​​под угрозу из-за прошлой эксплуатации Heartbleed, путем проверки данных SSL-опроса Netcraft, чтобы определить, предлагал ли сайт расширение Heartbeat TLS до раскрытия Heartbleed. Расширения Netcraft для Chrome, Firefox и Opera. [170] также выполните эту проверку при поиске потенциально скомпрометированных сертификатов. [171]

В другие инструменты безопасности добавлена ​​поддержка поиска этой ошибки. Например, компания Tenable Network Security написала плагин для своего сканера уязвимостей Nessus , который может сканировать эту ошибку. [172] Сканер безопасности Nmap включает скрипт обнаружения Heartbleed версии 6.45. [173]

Sourcefire выпустила правила Snort для обнаружения трафика атак Heartbleed и возможного ответного трафика Heartbleed. [174] Программное обеспечение для анализа пакетов с открытым исходным кодом, такое как Wireshark и tcpdump, может идентифицировать пакеты Heartbleed с помощью специальных фильтров пакетов BPF, которые можно использовать при перехвате сохраненных пакетов или живого трафика. [175]

Исправление

[ редактировать ]

Уязвимость к Heartbleed устраняется путем обновления OpenSSL до исправленной версии (1.0.1g или новее). OpenSSL можно использовать как отдельную программу, динамический общий объект или статически связанную библиотеку ; поэтому процесс обновления может потребовать перезапуска процессов, загруженных уязвимой версией OpenSSL, а также повторного связывания программ и библиотек, которые связывали его статически. На практике это означает обновление пакетов, которые статически связывают OpenSSL, и перезапуск запущенных программ, чтобы удалить находящуюся в памяти копию старого уязвимого кода OpenSSL. [ нужна ссылка ]

После устранения уязвимости администраторы серверов должны устранить потенциальное нарушение конфиденциальности. Поскольку Heartbleed позволил злоумышленникам раскрыть секретные ключи , их следует рассматривать как скомпрометированные; пары ключей необходимо сгенерировать заново, а сертификаты , которые их используют, — перевыпустить; старые сертификаты должны быть отозваны . Heartbleed также потенциально мог позволить раскрыть другие секреты памяти; поэтому другие материалы аутентификации (например, пароли ) также должны быть созданы заново. Редко удается подтвердить, что затронутая система не была скомпрометирована, или определить, произошла ли утечка конкретной информации. [176]

Поскольку трудно или невозможно определить, когда учетные данные могли быть скомпрометированы и как они могли быть использованы злоумышленником, некоторые системы могут потребовать дополнительных работ по исправлению даже после исправления уязвимости и замены учетных данных. Например, подписи, сделанные ключами, которые использовались с уязвимой версией OpenSSL, вполне могли быть сделаны злоумышленником; это повышает вероятность нарушения целостности и открывает возможности для отказа . Проверка подписей и легитимности других аутентификаций, выполненных с использованием потенциально скомпрометированного ключа (например, использования сертификата клиента ), должна выполняться с учетом конкретной задействованной системы. [ нужна ссылка ]

Информация об отзыве сертификата безопасности браузера

[ редактировать ]

Поскольку Heartbleed угрожает конфиденциальности закрытых ключей, пользователи взломанного веб-сайта могут продолжать страдать от последствий Heartbleed до тех пор, пока их браузер не узнает об отзыве сертификата или до истечения срока действия скомпрометированного сертификата. [177] По этой причине исправление также зависит от пользователей, использующих браузеры с актуальными списками отзыва сертификатов (или поддержкой OCSP ) и соблюдающих отзыв сертификатов. [ нужна ссылка ]

Коренные причины, возможные уроки и реакции

[ редактировать ]

Хотя оценить общую стоимость Heartbleed сложно, eWeek оценил в качестве отправной точки 500 миллионов долларов США. [178]

В статье Дэвида А. Уиллера « Как предотвратить следующее кровотечение из сердца» анализируется, почему кровотечение из сердца не было обнаружено раньше, и предлагается несколько методов, которые могли бы привести к более быстрой идентификации, а также методы, которые могли бы уменьшить его воздействие. По словам Уиллера, наиболее эффективным методом, который мог бы предотвратить Heartbleed, является набор тестов, тщательно выполняющий тестирование надежности , то есть тестирование того, что неверные входные данные вызывают сбои, а не успехи. Уиллер подчеркивает, что единый набор тестов общего назначения может служить основой для всех реализаций TLS. [179]

Согласно статье The Conversation Роберта Меркеля в журнале , Heartbleed выявил массовый провал анализа рисков . Меркель считает, что OpenSSL придает большее значение производительности, чем безопасности, что, по его мнению, больше не имеет смысла. Но Меркель считает, что OpenSSL не следует винить так сильно, как пользователей OpenSSL, которые решили использовать OpenSSL, не финансируя лучший аудит и тестирование. Меркель объясняет, что два аспекта определяют риск того, что более похожие ошибки вызовут уязвимости. Во-первых, исходный код библиотеки влияет на риск написания ошибок с таким влиянием. Во-вторых, процессы OpenSSL влияют на вероятность быстрого обнаружения ошибок. Что касается первого аспекта, Меркель упоминает использование языка программирования C как один из факторов риска, который способствовал появлению Heartbleed, повторяя анализ Уиллера. [179] [180]

В том же аспекте Тео де Раадт , основатель и руководитель проектов OpenBSD и OpenSSH , раскритиковал разработчиков OpenSSL за то, что они написали свои собственные процедуры управления памятью и тем самым, как он утверждает, обходят меры противодействия эксплойтам стандартной библиотеки OpenBSD C , заявив, что «OpenSSL не является разработано ответственной командой». [181] [182] После раскрытия информации Heartbleed участники проекта OpenBSD превратили OpenSSL в LibreSSL . [183] LibreSSL провела большую очистку кода, удалив более 90 000 строк кода C только за первую неделю. [184]

Автор изменения, которое представило Heartbleed, Робин Зеггельманн, [185] заявил, что он пропустил проверку переменной, содержащей длину , и отрицал какое-либо намерение представить ошибочную реализацию. [20] После раскрытия Heartbleed Зеггельманн предложил сосредоточиться на втором аспекте, заявив, что OpenSSL не проверяется достаточным количеством людей. [186] Хотя работа Зеггельмана была проверена основным разработчиком OpenSSL, проверка также была направлена ​​на проверку функциональных улучшений, а в такой ситуации уязвимости гораздо легче не заметить. [179]

Основной разработчик OpenSSL Бен Лори заявил, что проверка безопасности OpenSSL выявила бы Heartbleed. [187] Инженер-программист Джон Уолш прокомментировал:

Подумайте об этом: в OpenSSL есть только два [штатных] человека, которые пишут, поддерживают, тестируют и проверяют 500 000 строк критически важного для бизнеса кода. [188]

Президент фонда OpenSSL Стив Маркиз сказал: «Загадка не в том, что несколько перегруженных работой добровольцев пропустили эту ошибку; загадка в том, почему она не случалась чаще». [188] Дэвид А. Уилер описал аудит как отличный способ найти уязвимости в типичных случаях, но отметил, что «OpenSSL использует излишне сложные структуры, что усложняет проверку как людям, так и машинам». Он написал:

Необходимо постоянно прилагать усилия по упрощению кода, поскольку в противном случае простое добавление возможностей будет постепенно увеличивать сложность программного обеспечения. Код следует со временем рефакторить, чтобы сделать его простым и понятным, а не просто постоянно добавлять новые функции. Целью должен быть код, который «очевидно правильный», а не код, который настолько сложен, что «я не вижу никаких проблем». [179]

По мнению исследователя безопасности Дэна Камински , Heartbleed является признаком экономической проблемы, которую необходимо решить. Видя, сколько времени уходит на то, чтобы отловить эту простую ошибку в простой функции из «критической» зависимости, Камински опасается появления многочисленных уязвимостей в будущем, если ничего не будет предпринято. Когда был обнаружен Heartbleed, OpenSSL поддерживала горстка добровольцев, только один из которых работал полный рабочий день. [189] Ежегодные пожертвования на проект OpenSSL составляли около 2000 долларов США. [190] Сайт Heartbleed от Codenomicon посоветовал сделать денежные пожертвования в проект OpenSSL. [3] Узнав о пожертвованиях в течение 2 или 3 дней после раскрытия информации Heartbleed на общую сумму 841 доллар США, Камински прокомментировал: «Мы создаем самые важные технологии для мировой экономики на ужасно недофинансированной инфраструктуре». [191] Основной разработчик Бен Лори охарактеризовал проект как «полностью нефинансируемый». [190] Хотя у OpenSSL Software Foundation нет программы вознаграждения за ошибки , инициатива Internet Bug Bounty присудила 15 000 долларов США Нилу Мехте из Google, который обнаружил Heartbleed, за ответственное раскрытие информации. [190] Позже Мехта пожертвовал свою награду на сбор средств Фонда свободы прессы . [192]

Пол Кьюзано предположил, что Heartbleed мог возникнуть из-за неудачной экономики программного обеспечения. [193]

Коллективным ответом отрасли на кризис стала Core Infrastructure Initiative — многомиллионный проект, объявленный Linux Foundation 24 апреля 2014 года с целью предоставления средств критически важным элементам глобальной информационной инфраструктуры. [194] Инициатива призвана позволить ведущим разработчикам работать над своими проектами полный рабочий день и оплачивать аудит безопасности, аппаратную и программную инфраструктуру, командировочные и другие расходы. [195] OpenSSL является кандидатом на то, чтобы стать первым получателем финансирования инициативы. [194]

После обнаружения Google создал Project Zero , задачей которого является поиск уязвимостей нулевого дня для обеспечения безопасности Интернета и общества. [196] [197]

Ссылки

[ редактировать ]
  1. ^ Маккензи, Патрик (9 апреля 2014 г.). «Чему Heartbleed может научить сообщество OSS о маркетинге» . Кальзумеус . Архивировано из оригинала 20 декабря 2017 года . Проверено 8 февраля 2018 г.
  2. ^ Биггс, Джон (9 апреля 2014 г.). «Heartbleed, первая ошибка безопасности с крутым логотипом» . ТехКранч . Архивировано из оригинала 11 февраля 2018 года . Проверено 8 февраля 2018 г.
  3. ^ Перейти обратно: а б с д и «Жук с кровоточащим сердцем» . 11 октября 2023 года. Архивировано из оригинала 7 апреля 2014 года . Проверено 9 апреля 2014 г.
  4. ^ Питканен, Пертту (9 апреля 2014 г.). « Вот как финские исследователи обнаружили серьезную утечку в самом сердце Интернета». Ильта-Саномат (на финском языке) . Проверено 11 октября 2023 г.
  5. ^ «Рекомендации по безопасности — уязвимость OpenSSL Heartbleed» . Кибероам . 11 апреля 2014 г. Архивировано из оригинала 8 февраля 2018 г. . Проверено 8 февраля 2018 г.
  6. ^ Лимер, Эрик (9 апреля 2014 г.). «Как работает Heartbleed: код, стоящий за кошмаром безопасности Интернета» . Гизмодо . Архивировано из оригинала 11 ноября 2014 года . Проверено 24 ноября 2014 г.
  7. ^ Перейти обратно: а б «CVE-2014-0160» . Распространенные уязвимости и риски . Митра. Архивировано из оригинала 24 января 2018 года . Проверено 8 февраля 2018 г.
  8. ^ «CWE-126: Перечтение буфера (3.0)» . Распространенные уязвимости и риски . Митра . 18 января 2018 года. Архивировано из оригинала 8 февраля 2018 года . Проверено 8 февраля 2018 г.
  9. ^ «AL14-005: уязвимость OpenSSL Heartbleed» . Бюллетени по кибербезопасности . Общественная безопасность Канады . 11 апреля 2014 г. Архивировано из оригинала 8 февраля 2018 г. . Проверено 8 февраля 2018 г.
  10. ^ «Добавить проверку границ расширения пульса» . git.openssl.org . OpenSSL . Проверено 5 марта 2019 г.
  11. ^ Преториус, Трейси (10 апреля 2014 г.). «Службы Microsoft не подвержены уязвимости OpenSSL «Heartbleed»» . Майкрософт . Архивировано из оригинала 8 февраля 2018 года . Проверено 8 февраля 2018 г.
  12. ^ Лейден, Джон (20 мая 2014 г.). «AVG на Heartbleed: опасно идти в одиночку. Возьми это (инструмент AVG)» . Регистр . Архивировано из оригинала 23 января 2018 года . Проверено 8 февраля 2018 г.
  13. ^ Перейти обратно: а б Грэм, Роберт (21 июня 2014 г.). «Два месяца спустя 300 тысяч серверов уязвимы для Heartbleed» . Ошибка безопасности. Архивировано из оригинала 23 июня 2014 года . Проверено 22 июня 2014 г.
  14. ^ Перейти обратно: а б Шодан (23 января 2017 г.). «Отчет о кровотечении (2017-01)» . shodan.io. Архивировано из оригинала 23 января 2017 года . Проверено 10 июля 2019 г.
  15. ^ Перейти обратно: а б Шварц, Мэтью Дж. (30 января 2017 г.). «Heartbleed сохраняется: почти 180 000 серверов все еще уязвимы» . Банковская информационная безопасность. Архивировано из оригинала 11 июля 2019 года . Проверено 10 июля 2019 г.
  16. ^ Перейти обратно: а б Мак Витти, Лори (2 февраля 2017 г.). «Дружеское напоминание: безопасность приложений в облаке — ваша ответственность» . Лаборатория F5. Архивировано из оригинала 11 июля 2019 года . Проверено 10 июля 2019 г.
  17. ^ Перейти обратно: а б Кэри, Патрик (10 июля 2017 г.). «Изжога Heartbleed: почему уязвимость пятилетнего ребенка продолжает кусаться» . Книга безопасности. Архивировано из оригинала 11 июля 2019 года . Проверено 10 июля 2019 г.
  18. ^ Шодан (11 июля 2019 г.). «[2019] Отчет о кровотечении» . Шодан . Архивировано из оригинала 11 июля 2019 года . Проверено 11 июля 2019 г.
  19. ^ Зеггельманн, Робин; Туксен, Майкл; Уильямс, Майкл (февраль 2012 г.). Расширение Heartbeat Security Transport Layer Security (TLS) и Datagram Transport Layer Security (DTLS) . IETF . дои : 10.17487/RFC6520 . ISSN   2070-1721 . РФК 6520 . Проверено 8 февраля 2018 г.
  20. ^ Перейти обратно: а б Грабб, Бен (11 апреля 2014 г.). «Человек, допустивший серьезную уязвимость безопасности Heartbleed, отрицает, что вставил ее намеренно» . Сидней Морнинг Геральд . [ постоянная мертвая ссылка ]
  21. ^ «#2658: [ИСПРАВЛЕНИЕ] Добавить такты TLS/DTLS» . OpenSSL. 2011. Архивировано из оригинала 8 августа 2017 года . Проверено 13 апреля 2014 г.
  22. ^ «Познакомьтесь с человеком, который создал ошибку, которая чуть не сломала Интернет» . Глобус и почта . 11 апреля 2014 г. Архивировано из оригинала 4 января 2018 г. . Проверено 27 августа 2017 г.
  23. ^ Гудин, Дэн (8 апреля 2014 г.). «Критическая криптографическая ошибка в OpenSSL открывает две трети Интернета для подслушивания» . Арс Техника . Архивировано из оригинала 5 июля 2017 года . Проверено 14 июня 2017 г.
  24. ^ «Марк Джей Кокс – #Heartbleed» . Архивировано из оригинала 16 апреля 2014 года . Проверено 12 апреля 2014 г.
  25. ^ Питканен, Пертту (10 апреля 2014 г.). «Жители Оулу перевернули название и логотип: так создавался супержук» . Ильта-Саномат (на финском языке) . Проверено 11 октября 2023 г.
  26. ^ Дьюи, Кейтлин. «Почему его называют «Жук с кровоточащим сердцем»?» . Архивировано из оригинала 9 октября 2014 года . Проверено 25 ноября 2014 г.
  27. ^ Ли, Тимоти Б. (10 апреля 2014 г.). «Кто обнаружил уязвимость?» . Вокс . Архивировано из оригинала 5 декабря 2017 года . Проверено 4 декабря 2017 г.
  28. ^ Ли, Ариана (13 апреля 2014 г.). «Как Codenomicon обнаружил ошибку Heartbleed, которая теперь поражает Интернет» . ЧитатьЗапись . Архивировано из оригинала 5 сентября 2017 года . Проверено 4 декабря 2017 г. Обнаруженная независимо инженером Google Нилом Мехтой и финской охранной фирмой Codenomicon, Heartbleed была названа «одной из самых серьезных проблем безопасности, когда-либо затрагивавших современную сеть».
  29. ^ "Вот как финские исследователи обнаружили серьезную утечку в сердце Интернета - пер./Финские исследователи обнаружили серьезную утечку в сердце Интернета" . 10 апреля 2014 года. Архивировано из оригинала 4 ноября 2014 года . Проверено 13 апреля 2014 г.
  30. ^ Баранина, Пол (8 апреля 2014 г.). «Полмиллиона широко надежных веб-сайтов уязвимы для ошибки Heartbleed» . Неткрафт . Архивировано из оригинала 19 ноября 2014 года . Проверено 24 ноября 2014 г.
  31. ^ Перлрот, Николь; Харди, Квентин (11 апреля 2014 г.). «Эксперты говорят, что уязвимость Heartbleed может распространиться на цифровые устройства» . Нью-Йорк Таймс . Архивировано из оригинала 28 апреля 2019 года . Проверено 27 февраля 2017 г. .
  32. ^ Чен, Брайан X. (9 апреля 2014 г.). «Вопросы и ответы по Heartbleed: недостаток, который не замечают массы» . Нью-Йорк Таймс . Архивировано из оригинала 12 апреля 2014 года . Проверено 10 апреля 2014 г.
  33. ^ Вуд, Молли (10 апреля 2014 г.). «Недостаток требует смены паролей, говорят эксперты» . Нью-Йорк Таймс . Архивировано из оригинала 19 октября 2017 года . Проверено 27 февраля 2017 г. .
  34. ^ Манджу, Фархад (10 апреля 2014 г.). «Строгое напоминание пользователям: по мере роста сети она становится менее безопасной» . Нью-Йорк Таймс . Архивировано из оригинала 24 февраля 2018 года . Проверено 27 февраля 2017 г. .
  35. ^ Чжу, Ян (8 апреля 2014 г.). «Почему Интернету нужна идеальная прямая секретность больше, чем когда-либо» . Фонд электронных границ . Архивировано из оригинала 20 декабря 2017 года . Проверено 10 апреля 2014 г.
  36. ^ Гудин, Дэн (8 апреля 2014 г.). «Критическая криптографическая ошибка раскрывает Yahoo Mail и другие пароли в стиле русской рулетки» . Арс Техника. Архивировано из оригинала 14 июля 2017 года . Проверено 14 июня 2017 г.
  37. ^ «Шнайер о безопасности: Heartbleed» . Шнайер по безопасности . 11 апреля 2014 года. Архивировано из оригинала 23 декабря 2017 года . Проверено 10 апреля 2014 г.
  38. ^ Стейнберг, Джозеф (10 апреля 2014 г.). «Огромная уязвимость в системе безопасности Интернета: вот что вам нужно сделать» . Форбс . Архивировано из оригинала 4 января 2018 года . Проверено 29 августа 2017 г.
  39. ^ Келион, Лев (11 апреля 2014 г.). «Правительство США предупреждает об опасности ошибки Heartbleed» . Новости Би-би-си . Архивировано из оригинала 6 декабря 2018 года . Проверено 21 июня 2018 г.
  40. ^ Перейти обратно: а б «Ошибка OpenSSL CVE-2014-0160» . Проект Тор. 7 апреля 2014 года. Архивировано из оригинала 10 июля 2017 года . Проверено 9 апреля 2014 г.
  41. ^ Грабб, Бен (14 апреля 2014 г.). «График раскрытия информации: кто знал, что и когда» . Сидней Морнинг Геральд . Архивировано из оригинала 25 ноября 2014 года . Проверено 25 ноября 2014 г.
  42. ^ "heartbeat_fix" . Архивировано из оригинала 19 ноября 2018 года . Проверено 14 апреля 2014 г.
  43. ^ Перейти обратно: а б " "полный список изменений" (Git – openssl.git/commitdiff)" . Проект OpenSSL. 7 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  44. ^ «Цунами отзыва сертификата Heartblem еще не наступило» . Неткрафт . 11 апреля 2014 года. Архивировано из оригинала 29 мая 2014 года . Проверено 24 апреля 2014 г.
  45. ^ Баранина, Пол (9 мая 2014 г.). «Во многих сертификатах замены Heartbleed ключи остались неизмененными!» . Неткрафт . Архивировано из оригинала 27 августа 2016 года . Проверено 11 сентября 2016 г.
  46. ^ Кернер, Шон Майкл (10 мая 2014 г.). «Кровотечение сердца по-прежнему представляет угрозу для сотен тысяч серверов» . электронная неделя . Архивировано из оригинала 11 мая 2014 года.
  47. ^ Принц, Мэтью (17 апреля 2014 г.). «Скрытые издержки Heartbleed» . Облачная вспышка . Архивировано из оригинала 30 апреля 2016 года.
  48. ^ Эванс, Пит (14 апреля 2014 г.). «Ошибка Heartbleed: 900 SIN украдены из налоговой службы Канады» . Новости ЦБК . Архивировано из оригинала 14 марта 2018 года . Проверено 4 ноября 2014 г. Некоторые подробности можно посмотреть в видеоролике, ссылка на который размещена на странице.
  49. ^ «Агентство по доходам Канады переносит крайний срок уплаты налогов на 5 мая из-за ошибки Heartbleed» . 14 апреля 2014 года. Архивировано из оригинала 4 ноября 2014 года . Проверено 4 ноября 2014 г.
  50. ^ Тибедо, Ханна (16 апреля 2014 г.). «Heartbleed bug обвинен RCMP после взлома SIN» . Новости ЦБК . Архивировано из оригинала 28 октября 2014 года . Проверено 4 ноября 2014 г.
  51. ^ «Дело о взломе Heartbleed впервые арестовали в Канаде» . Новости Би-би-си . 16 апреля 2014 г. Архивировано из оригинала 23 мая 2018 г. . Проверено 21 июня 2018 г.
  52. ^ Перейти обратно: а б Келион, Лев (14 апреля 2014 г.). «Взломы Heartbleed ударили по Mumsnet и налоговому агентству Канады» . Новости Би-би-си . Архивировано из оригинала 29 ноября 2017 года . Проверено 21 июня 2018 г.
  53. ^ «Mumsnet и Heartbleed, как это было» . Мамснет . Архивировано из оригинала 29 декабря 2017 года . Проверено 17 апреля 2014 г.
  54. ^ Уорд, Марк (29 апреля 2014 г.). «Heartbleed использовался для раскрытия данных киберпреступников» . Новости Би-би-си . Архивировано из оригинала 14 мая 2018 года . Проверено 21 июня 2018 г.
  55. ^ Лоулер, Ричард (11 апреля 2014 г.). «Cloudflare Challenge доказывает, что «наихудший сценарий» для Heartbleed действительно возможен» . Engadget . Архивировано из оригинала 29 декабря 2017 года . Проверено 29 августа 2017 г.
  56. ^ «Вызов сердечного кровотечения» . CloudFlare . 2014. Архивировано из оригинала 12 апреля 2014 года.
  57. ^ Робертсон, Джордан (16 апреля 2014 г.). «Хакеры из Китая тратят мало времени на использование Heartbleed» . Сидней Морнинг Геральд . Архивировано из оригинала 28 декабря 2017 года . Проверено 16 апреля 2020 г.
  58. ^ Фризелл, Сэм (20 августа 2014 г.). «Отчет: разрушительный дефект Heartbleed был использован при взломе больницы» . Время . Архивировано из оригинала 7 октября 2014 года . Проверено 7 октября 2014 г.
  59. ^ Чиприани, Джейсон (9 апреля 2014 г.). «Ошибка Heartbleed: проверьте, какие сайты были исправлены» . CNET . Архивировано из оригинала 17 апреля 2020 года . Проверено 16 апреля 2020 г.
  60. ^ Галлахер, Шон (9 апреля 2014 г.). «Уязвимость Heartbleed могла быть использована за несколько месяцев до выхода патча» . Арс Техника . Архивировано из оригинала 3 марта 2017 года . Проверено 14 июня 2017 г.
  61. ^ Экерсли, Питер (10 апреля 2014 г.). «Дикие сердцем: использовали ли спецслужбы Heartbleed в ноябре 2013 года?» . Eff.org. Архивировано из оригинала 5 декабря 2014 года . Проверено 25 ноября 2014 г.
  62. ^ Грэм, Роберт (9 апреля 2014 г.). «Нет, мы не сканировали слух на предмет кровотечения до 7 апреля» . Ошибка безопасности. Архивировано из оригинала 16 октября 2017 года . Проверено 10 апреля 2014 г.
  63. ^ Райли, Майкл (12 апреля 2014 г.). «АНБ заявило, что годами будет использовать Heartbleed Bug в разведывательных целях» . Блумберг . Архивировано из оригинала 11 апреля 2014 года . Проверено 7 марта 2017 г.
  64. ^ Молина, Бретт. «Отчет: АНБ эксплуатировало Heartbleed в течение многих лет» . США сегодня . Архивировано из оригинала 11 апреля 2014 года . Проверено 11 апреля 2014 г.
  65. ^ Райли, Майкл. «АНБ использовало ошибку Heartbleed в течение двух лет для сбора разведывательной информации, — сообщают источники» . Финансовый пост . Архивировано из оригинала 11 апреля 2014 года . Проверено 11 апреля 2014 г.
  66. ^ «Заявление по поводу статьи Bloomberg News о том, что АНБ знало об уязвимости «Heartbleed bug» и регулярно использовало ее для сбора критической разведывательной информации» . Агентство национальной безопасности . 11 апреля 2014 года. Архивировано из оригинала 27 декабря 2017 года . Проверено 13 апреля 2014 г.
  67. ^ Хосенболл, Марк; Данэм, Уилл (11 апреля 2014 г.). «Белый дом и шпионские агентства отрицают, что АНБ использовало ошибку Heartbleed» . Рейтер . Архивировано из оригинала 15 апреля 2014 года . Проверено 1 июля 2017 года .
  68. ^ Зеттер, Ким. «Правительство США настаивает на том, что оно не накапливает эксплойты нулевого дня для взлома врагов» . Проводной . проводной.com. Архивировано из оригинала 29 ноября 2014 года . Проверено 25 ноября 2014 г.
  69. ^ Хант, Трой (9 апреля 2014 г.). «Все, что вам нужно знать об ошибке Heartbleed SSL» . Тройхант . Архивировано из оригинала 11 апреля 2014 года . Проверено 11 апреля 2014 г.
  70. ^ «git.openssl.org Git – openssl.git/log» . git.openssl.org . Архивировано из оригинала 15 апреля 2014 года . Проверено 25 ноября 2014 г.
  71. ^ «Обсуждения сообщества Spiceworks» . Community.spiceworks.com. Архивировано из оригинала 15 апреля 2014 года . Проверено 11 апреля 2014 г.
  72. ^ «Рекомендации по безопасности OpenSSL [7 апреля 2014 г.]» . Проект OpenSSL . 7 апреля 2014 года. Архивировано из оригинала 8 апреля 2014 года . Проверено 9 апреля 2014 г.
  73. ^ «Версии и уязвимости OpenSSL [9 апреля 2014 г.]» . Комодо . Архивировано из оригинала 5 июля 2014 года . Проверено 9 апреля 2014 г.
  74. ^ «Пользователям Cyberoam не нужно проливать кровь из-за уязвимости Heartbleed» . www.cyberoam.com. Архивировано из оригинала 15 апреля 2014 года . Проверено 11 апреля 2014 г.
  75. ^ «tls1_process_heartbeat [9 апреля 2014 г.]» . Архивировано из оригинала 26 августа 2014 года . Проверено 10 апреля 2014 г.
  76. ^ «Чем Heartbleed опасен? Использование CVE-2014-0160» . IPSec.pl. 2014. Архивировано из оригинала 8 апреля 2014 года . Проверено 9 апреля 2014 г.
  77. ^ Грэм-Камминг, Джон (28 апреля 2014 г.). «В поисках главного подозреваемого: как из Heartbleed произошла утечка секретных ключей» . CloudFlare. Архивировано из оригинала 29 декабря 2017 года . Проверено 7 июня 2014 г.
  78. ^ Судья Кевин. «Серверы, уязвимые к Heartbleed [14 июля 2014 г.]» . Архивировано из оригинала 26 августа 2014 года . Проверено 25 августа 2014 г.
  79. ^ Рейни, Ли; Дагган, Мейв (30 апреля 2014 г.). «Воздействие Heartbleed» . Интернет-проект Pew Research . Исследовательский центр Пью . п. 2. Архивировано из оригинала 28 декабря 2017 года . Проверено 22 мая 2014 г.
  80. ^ Брэдли, Тони (14 апреля 2014 г.). «Reverse Heartbleed подвергает ваш компьютер и устройства риску атаки OpenSSL» . Мир ПК . IDG Consumer & SMB. Архивировано из оригинала 2 декабря 2016 года . Проверено 10 мая 2014 г.
  81. ^ Перейти обратно: а б Артур, Чарльз (15 апреля 2014 г.). «Как показывают данные, Heartbleed делает уязвимыми 50 миллионов телефонов Android» . Хранитель . Гардиан Ньюс энд Медиа Лимитед. Архивировано из оригинала 19 марта 2016 года . Проверено 14 декабря 2016 г.
  82. ^ «Безопасность сейчас 451» . Твит.ТВ. Архивировано из оригинала 19 апреля 2014 года . Проверено 19 апреля 2014 г.
  83. ^ Рамзан, Зульфикар (24 апреля 2014 г.). « "Reverse Heartbleed" может атаковать ПК и мобильные телефоны» . Журнал СК . Haymarket Media, Inc. Архивировано из оригинала 6 октября 2016 года . Проверено 10 мая 2014 г.
  84. ^ Перейти обратно: а б «Уязвимость расширения OpenSSL Heartbeat в нескольких продуктах Cisco» . Сиско Системс. 9 апреля 2014 года. Архивировано из оригинала 29 декабря 2017 года . Проверено 8 мая 2014 г.
  85. ^ «Heartbleed-masstest: Обзор» . Гитхаб . Архивировано из оригинала 1 июня 2014 года . Проверено 19 апреля 2014 г.
  86. ^ Чиприани, Джейсон (10 апреля 2014 г.). «На каких сайтах исправлена ​​ошибка Heartbleed?» . CNET . Архивировано из оригинала 11 апреля 2014 года . Проверено 10 апреля 2014 г.
  87. ^ «Часто задаваемые вопросы по Heartbleed: исправлены системы Akamai» . Акамай Технологии . 8 апреля 2014 года. Архивировано из оригинала 8 апреля 2014 года . Проверено 9 апреля 2014 г.
  88. ^ «Сервисы AWS обновлены для устранения уязвимости OpenSSL» . Веб-сервисы Amazon . 8 апреля 2014 года. Архивировано из оригинала 11 апреля 2014 года . Проверено 9 апреля 2014 г.
  89. ^ «Дорогие читатели, пожалуйста, как можно скорее смените пароли своей учетной записи Ars» . Арс Техника. 8 апреля 2014 года. Архивировано из оригинала 18 января 2017 года . Проверено 14 июня 2017 г.
  90. ^ «Все улучшения Heartbleed завершены» . Блог BitBucket. 9 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  91. ^ «Защита вашей учетной записи BrandVerity от ошибки Heartbleed» . Блог BrandVerity. 9 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  92. ^ @freenodestaff (8 апреля 2014 г.). «нам пришлось перезапустить несколько серверов из-за уязвимости безопасности openssl, которая была/была очень шумной. Извините!» ( Твит ) – через Твиттер .
  93. ^ «Безопасность: уязвимость Heartbleed» . Гитхаб . 8 апреля 2014 года. Архивировано из оригинала 10 апреля 2014 года . Проверено 9 апреля 2014 г.
  94. ^ «IFTTT заявляет, что больше не уязвим для сердечного кровотечения» . ЛайфХакер . 8 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  95. ^ «Ошибка Heartbleed и Архив» . Интернет-архив блогов . 9 апреля 2014 года . Проверено 14 апреля 2014 г.
  96. ^ @KrisJelbring (8 апреля 2014 г.). «Если вы заходили в какую-либо из наших игр или на веб-сайты в течение последних 24 часов, используя свое имя пользователя и пароль, я бы рекомендовал вам сменить пароль» ( твит ) . Проверено 14 апреля 2014 г. - через Twitter .
  97. ^ «Распространенная ошибка OpenSSL Heartbleed исправлена ​​в PeerJ» . ПерДж . 9 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 9 апреля 2014 г.
  98. ^ «Повлияла ли проблема Heartbleed на Pinterest?» . Справочный центр Pinterest . Архивировано из оригинала 21 апреля 2014 года . Проверено 20 апреля 2014 г.
  99. ^ «Кровотечение сердца побеждено» . Прези . Архивировано из оригинала 5 июня 2014 года . Проверено 13 апреля 2014 г.
  100. ^ «Мы рекомендуем вам изменить пароль Reddit» . Реддит . 14 апреля 2014 года. Архивировано из оригинала 15 апреля 2014 года . Проверено 14 апреля 2014 г.
  101. ^ «ВАЖНЫЕ ОБЪЯВЛЕНИЯ ОТ ПРОИЗВОДИТЕЛЕЙ ЧИЛИ» . Архивировано из оригинала 28 июля 2013 года . Проверено 13 апреля 2014 г.
  102. ^ Коди, Брендан (9 апреля 2014 г.). «Обновление безопасности: сегодня мы собираемся выйти из системы, и вот почему» . Саундклауд . Архивировано из оригинала 13 апреля 2014 года . Проверено 9 апреля 2014 г.
  103. ^ «Ответ SourceForge на Heartbleed» . СоурсФордж . 10 апреля 2014 года. Архивировано из оригинала 11 апреля 2014 года . Проверено 10 апреля 2014 г.
  104. ^ «Кровотечение сердца» . СпаркФан . 9 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  105. ^ «Кровотечение сердца» . Страйп (компания) . 9 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  106. ^ «Сотрудники Tumblr — Срочное обновление безопасности» . 8 апреля 2014 года. Архивировано из оригинала 9 апреля 2014 года . Проверено 9 апреля 2014 г.
  107. ^ Херн, Алекс (9 апреля 2014 г.). «Heartbleed: не спешите обновлять пароли, предупреждают эксперты по безопасности» . Хранитель . Архивировано из оригинала 3 января 2017 года . Проверено 14 декабря 2016 г.
  108. ^ Перейти обратно: а б Гроссмайер, Грег (8 апреля 2014 г.). «[Wikitech-l] Вперёд: меры безопасности – сброс всех пользовательских сессий сегодня» . Фонд Викимедиа . Архивировано из оригинала 18 июня 2014 года . Проверено 9 апреля 2014 г.
  109. ^ Гроссмайер, Грег (10 апреля 2014 г.). «Реакция Викимедиа на уязвимость безопасности Heartbleed» . Блог Фонда Викимедиа . Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  110. ^ «Wunderlist и уязвимость OpenSSL Heartbleed» . 10 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  111. ^ «Из соображений безопасности налоговое ведомство закрыло веб-сайт» . Новости КТВ . 9 апреля 2014 года. Архивировано из оригинала 18 января 2021 года . Проверено 9 апреля 2014 г.
  112. ^ «Heartbleed: канадские налоговые службы снова в сети» . Новости ЦБК . Архивировано из оригинала 25 апреля 2018 года . Проверено 14 апреля 2014 г.
  113. ^ Огродник, Ирен (14 апреля 2014 г.). «900 SIN украдены из-за ошибки Heartbleed: Агентство по доходам Канады | Globalnews.ca» . globalnews.ca . Глобальные новости. Архивировано из оригинала 4 мая 2019 года . Проверено 4 мая 2019 г.
  114. ^ Сеглинс, Дэйв (3 декабря 2014 г.). «Взлом CRA Heartbleed: Стивену Солису-Рейесу предъявлены новые обвинения» . cbc.ca. ​Новости Си-Би-Си. Архивировано из оригинала 4 мая 2019 года . Проверено 4 мая 2019 г.
  115. ^ «Сайт Статистического управления Канады был взломан неизвестным злоумышленником» . Порок – материнская плата . Архивировано из оригинала 24 декабря 2018 года . Проверено 23 декабря 2018 г.
  116. ^ Фигерман, Сет (14 апреля 2014 г.). «Эффект сердечного кровотечения: службы паролей набирают обороты» . Машаемый . Архивировано из оригинала 16 октября 2017 года . Проверено 28 апреля 2014 г.
  117. ^ «LastPass и ошибка Heartbleed» . ЛастПасс . 8 апреля 2014 г. Архивировано из оригинала 18 декабря 2017 г. Проверено 28 апреля 2014 г.
  118. ^ «[tor-relays] Отклоняет 380 уязвимых ключей охраны/выхода» . Lists.torproject.org. 16 апреля 2014 года. Архивировано из оригинала 19 апреля 2014 года . Проверено 19 апреля 2014 г.
  119. ^ «Еженедельные новости Tor — 16 апреля 2014 г. | Блог Tor» . Блог.torproject.org. Архивировано из оригинала 19 апреля 2014 года . Проверено 19 апреля 2014 г.
  120. ^ Галлахер, Шон (17 мая 2012 г.). «Ряды ретрансляционных серверов в сети Tor сокращены из-за ошибки Heartbleed» . Арс Техника. Архивировано из оригинала 1 мая 2014 года . Проверено 19 апреля 2014 г.
  121. ^ Мимозо, Майкл (17 апреля 2014 г.). «Выходные узлы Tor внесены в черный список, уязвимые для ошибки Heartbleed | Threatpost | Первая остановка для новостей о безопасности» . Угроза. Архивировано из оригинала 19 апреля 2014 года . Проверено 19 апреля 2014 г.
  122. ^ Младший, Пол (11 апреля 2014 г.). «Игровые сервисы для ПК, затронутые Heartbleed, и действия, которые вам необходимо предпринять» . IncGamers. Архивировано из оригинала 15 апреля 2014 года . Проверено 15 апреля 2014 г.
  123. ^ «Связь с серверами HP: уязвимость OpenSSL «HeartBleed»» . 18 апреля 2014 г. Архивировано из оригинала 4 марта 2016 г.
  124. ^ «Продукты FileMaker и ошибка Heartbleed» . 6 мая 2014 г. Архивировано из оригинала 12 октября 2016 г. . Проверено 8 мая 2014 г.
  125. ^ италовиньоли (10 апреля 2014 г.). «LibreOffice 4.2.3 теперь доступен для загрузки» . Фонд документов . Архивировано из оригинала 12 апреля 2014 года . Проверено 11 апреля 2014 г.
  126. ^ «CVE-2014-0160» . ЛибреОфис . 7 апреля 2014 года. Архивировано из оригинала 3 мая 2014 года . Проверено 2 мая 2014 г.
  127. ^ «LogMeIn и OpenSSL» . ЛогМеИн . Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  128. ^ «Бюллетень по безопасности McAfee — уязвимость OpenSSL Heartbleed исправлена ​​в продуктах McAfee» . База знаний McAfee . 17 апреля 2014 года. Архивировано из оригинала 16 апреля 2014 года . Проверено 15 апреля 2014 г.
  129. ^ Перейти обратно: а б с д и «Ошибка безопасности OpenSSL — Heartbleed / CVE-2014-0160» . Архивировано из оригинала 28 мая 2014 года . Проверено 12 мая 2014 г.
  130. ^ «История последних версий» . WinSCP . 14 апреля 2014 года. Архивировано из оригинала 27 апреля 2014 года . Проверено 2 мая 2014 г.
  131. ^ «Ответ на проблему безопасности OpenSSL CVE-2014-0160/CVE-2014-0346, также известную как «Heartbleed» » . VMware, Inc. Архивировано из оригинала 16 апреля 2014 года . Проверено 17 апреля 2014 г.
  132. ^ «DSA-2896-1 openssl — обновление безопасности» . Проект Дебиан. 7 апреля 2014 года. Архивировано из оригинала 11 апреля 2014 года . Проверено 17 апреля 2014 г.
  133. ^ «Уведомление о безопасности Ubuntu USN-2165-1» . Canonical, Ltd. 7 апреля 2014 г. Архивировано из оригинала 13 апреля 2014 г. . Проверено 17 апреля 2014 г.
  134. ^ «Важно: обновление безопасности openssl» . Red Hat, Inc., 8 апреля 2014 г. Архивировано из оригинала 18 апреля 2014 г. . Проверено 17 апреля 2014 г.
  135. ^ «Публикация Каранбира Сингха в CentOS-анонс» . centos.org. 8 апреля 2014 года. Архивировано из оригинала 14 апреля 2014 года . Проверено 17 апреля 2014 г.
  136. ^ «Рекомендации по безопасности Amazon Linux AMI: ALAS-2014-320» . Amazon Web Services, Inc., 7 апреля 2014 г. Архивировано из оригинала 6 июня 2014 г. . Проверено 17 апреля 2014 г.
  137. ^ «Устройства Android 4.1.1 уязвимы к ошибке Heartbleed, — сообщает Google» . Конвергенция NDTV. 14 апреля 2014 года. Архивировано из оригинала 20 апреля 2014 года . Проверено 19 апреля 2014 г.
  138. ^ «Около 50 миллионов Android-смартфонов по-прежнему уязвимы для Heartbleed Bug» . Фокс Ньюс. 17 апреля 2014 года. Архивировано из оригинала 19 апреля 2014 года . Проверено 19 апреля 2014 г.
  139. ^ «Heartbleed: Android 4.1.1 Jelly Bean может серьезно пострадать» . БГР Медиа. 16 апреля 2014 года. Архивировано из оригинала 9 марта 2017 года . Проверено 19 апреля 2014 г.
  140. ^ Блайх, Эндрю (8 апреля 2014 г.). «Ошибка Heartbleed влияет на мобильные устройства» . Синий ящик. Архивировано из оригинала 6 мая 2014 года.
  141. ^ Снелл, Джейсон (22 апреля 2014 г.). «Apple выпускает исправление Heartbleed для базовых станций AirPort» . Макмир . Архивировано из оригинала 25 апреля 2020 года . Проверено 16 апреля 2020 г.
  142. ^ Кляйнман, Алексис (11 апреля 2014 г.). «Ошибка Heartbleed зашла даже глубже, чем мы предполагали: вот что вам следует делать» . Хаффингтон Пост . Архивировано из оригинала 23 марта 2019 года . Проверено 16 апреля 2020 г.
  143. ^ Перейти обратно: а б Ядрон, Дэнни (10 апреля 2014 г.). «В маршрутизаторах Cisco и Juniper Gear обнаружена ошибка Heartbleed» . Доу Джонс и компания, Инк.
  144. ^ «Бюллетень по безопасности вне цикла 2014-04: несколько продуктов, затронутых проблемой OpenSSL «Heartbleed» (CVE-2014-0160)» . Джунипер Нетворкс. 14 апреля 2014 года. Архивировано из оригинала 16 апреля 2014 года . Проверено 19 апреля 2014 г.
  145. ^ «Раскрытие информации OpenSSL «Heartbleed», ECDSA» . ООО «Электрическое ограждение овец». 8 апреля 2014 г. Архивировано из оригинала 2 мая 2014 г. . Проверено 2 мая 2014 г.
  146. ^ «На OpenVPN влияет ошибка OpenSSL CVE-2014-016?» . Форум DD-WRT . Архивировано из оригинала 26 февраля 2017 года . Проверено 26 февраля 2017 г.
  147. ^ «Проблема с сердечной ошибкой» . Вестерн Диджитал . 10 апреля 2014 г. Архивировано из оригинала 19 апреля 2014 г.
  148. ^ Брюстер, Том (16 апреля 2014 г.). «Heartbleed: 95% инструментов обнаружения «испорчены», утверждают исследователи» . Хранитель . Гардиан Ньюс энд Медиа Лимитед. Архивировано из оригинала 4 марта 2016 года . Проверено 14 декабря 2016 г.
  149. ^ «Трипваер SecureScan» . Tripwire – возьмите под контроль ИТ-безопасность и соблюдение нормативных требований с помощью программного обеспечения Tripwire . Архивировано из оригинала 16 апреля 2014 года . Проверено 7 октября 2014 г.
  150. ^ «AppCheck – статическое двоичное сканирование от Codenomicon» . Архивировано из оригинала 17 октября 2014 года . Проверено 7 октября 2014 г.
  151. ^ «Аналитика безопасности Pravail компании Arbor Network» . Архивировано из оригинала 11 апреля 2014 года . Проверено 7 октября 2014 г.
  152. ^ «Инструмент Norton Safeweb Heartbleed Check» . Архивировано из оригинала 10 октября 2014 года . Проверено 7 октября 2014 г.
  153. ^ «Инструмент тестирования расширений Heartbleed OpenSSL, CVE-2014-0160» . Возможно.lv. Архивировано из оригинала 11 апреля 2014 года . Проверено 11 апреля 2014 г.
  154. ^ «Проверьте свой сервер на наличие Heartbleed (CVE-2014-0160)» . Архивировано из оригинала 11 декабря 2017 года . Проверено 25 ноября 2014 г.
  155. ^ «Центр безопасности Кибероам» . Архивировано из оригинала 15 апреля 2014 года . Проверено 25 ноября 2014 г.
  156. ^ «Critical Watch :: Heartbleed Tester :: CVE-2014-0160» . Heartbleed.criticalwatch.com. Архивировано из оригинала 14 апреля 2014 года . Проверено 14 апреля 2014 г.
  157. ^ «metasploit-framework/openssl_heartbleed.rb в мастере» . Гитхаб . Архивировано из оригинала 28 июня 2015 года . Проверено 25 ноября 2014 г.
  158. ^ «Проверка уязвимостей OpenSSL Heartbeat (Heartbleed Checker)» . Архивировано из оригинала 24 декабря 2014 года . Проверено 25 ноября 2014 г.
  159. ^ «Детектор Heartbleed: проверьте, уязвима ли ваша ОС Android с помощью нашего приложения» . Lookout Mobile Security . 9 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  160. ^ «Проверка сердечного кровотечения» . ЛастПасс . Архивировано из оригинала 10 апреля 2014 года . Проверено 11 апреля 2014 г.
  161. ^ «Сканер уязвимостей OpenSSL Heartbleed :: Инструменты онлайн-тестирования на проникновение | Инструменты этического взлома» . Pentest-tools.com. Архивировано из оригинала 13 апреля 2014 года . Проверено 11 апреля 2014 г.
  162. ^ Стаффорд, Джаред (14 апреля 2014 г.). "heartbleed-poc.py" . Red Hat , Inc. Архивировано из оригинала 12 апреля 2014 года . Проверено 11 апреля 2014 г.
  163. ^ «Тест SSL-сервера Qualys's SSL Labs» . Архивировано из оригинала 7 октября 2014 года . Проверено 7 октября 2014 г.
  164. ^ «Хромблед» . Архивировано из оригинала 18 октября 2014 года . Проверено 7 октября 2014 г.
  165. ^ «ФоксБлид» . Архивировано из оригинала 12 октября 2014 года . Проверено 7 октября 2014 г.
  166. ^ «SSL-диагностика» . СоурсФордж . Архивировано из оригинала 12 октября 2014 года . Проверено 7 октября 2014 г.
  167. ^ «Сканер кровоизлияний CrowdStrike» . 18 апреля 2014 года. Архивировано из оригинала 11 октября 2014 года . Проверено 7 октября 2014 г.
  168. ^ Линн, Самара. «Маршрутизаторы, сетевое оборудование для малого и среднего бизнеса – подвержено ли ваше сетевое устройство Heartbleed?» . PCMag.com. Архивировано из оригинала 24 апреля 2014 года . Проверено 24 апреля 2014 г.
  169. ^ «Отчет о сайте Netcraft» . Архивировано из оригинала 17 августа 2014 года . Проверено 7 октября 2014 г.
  170. ^ «Расширения Netcraft» . Архивировано из оригинала 11 октября 2014 года . Проверено 7 октября 2014 г.
  171. ^ Баранина, Пол (24 июня 2014 г.). «Netcraft выпускает индикатор Heartbleed для Chrome, Firefox и Opera» . Неткрафт . Архивировано из оригинала 11 июля 2014 года . Проверено 24 июня 2014 г.
  172. ^ Манн, Джеффри (9 апреля 2014 г.). «Tenable упрощает обнаружение уязвимостей OpenSSL с помощью Nessus и Nessus Perimeter Service» . Надежная сетевая безопасность. Архивировано из оригинала 13 апреля 2014 года . Проверено 11 апреля 2014 г.
  173. ^ «Неофициальный выпуск Nmap 6.45» . 12 апреля 2014 года. Архивировано из оригинала 17 апреля 2014 года . Проверено 23 апреля 2014 г.
  174. ^ «VRT: раскрытие информации о памяти Heartbleed – обновите OpenSSL прямо сейчас!» . 8 апреля 2014 года. Архивировано из оригинала 11 апреля 2014 года . Проверено 11 апреля 2014 г.
  175. ^ «Блоги | Как обнаружить предыдущую эксплойт Heartbleed» . Русло реки. 9 апреля 2014 года. Архивировано из оригинала 19 апреля 2014 года . Проверено 19 апреля 2014 г.
  176. ^ «Пропатченные серверы остаются уязвимыми для Heartbleed OpenSSL | Хайден Джеймс» . Haydenjames.io. 10 апреля 2014 года. Архивировано из оригинала 13 апреля 2014 года . Проверено 10 апреля 2014 г.
  177. ^ «Информация об отзыве сертификатов безопасности – конкретные реализации» . Исследовательская корпорация Гибсона. Архивировано из оригинала 12 мая 2014 года . Проверено 7 июня 2014 г.
  178. ^ Кернер, Шон Майкл (19 апреля 2014 г.). «Потребуется время, чтобы подсчитать истинную цену недостатка SSL Heartbleed» . электронная неделя . Архивировано из оригинала 10 февраля 2020 года . Проверено 24 апреля 2014 г.
  179. ^ Перейти обратно: а б с д А. Уиллер, Дэвид (29 апреля 2014 г.). «Как предотвратить следующее кровотечение из сердца» . Архивировано из оригинала 2 февраля 2017 года . Проверено 30 января 2017 г.
  180. ^ Меркель, Роберт (11 апреля 2014 г.). «Как ошибка Heartbleed выявляет брешь в онлайн-безопасности» . Разговор . Архивировано из оригинала 17 апреля 2014 года . Проверено 21 апреля 2014 г.
  181. ^ «Re: FYA: http: heartbleed.com» . Гмане . Архивировано из оригинала 11 апреля 2014 года . Проверено 11 апреля 2014 г.
  182. ^ «Небольшая напыщенная речь Тео Де Раадта об OpenSSL» . Слэшдот . Кости. 10 апреля 2014 года. Архивировано из оригинала 24 апреля 2014 года . Проверено 22 апреля 2014 г.
  183. ^ Кернер, Шон Майкл (22 апреля 2014 г.). «После Heartbleed OpenSSL разветвляется на LibreSSL» . электронная неделя . Технологические консультации . Проверено 19 января 2021 г.
  184. ^ Зельцер, Ларри (21 апреля 2014 г.). «OpenBSD расширяет, сокращает и исправляет OpenSSL» . Нулевой день . ЗДНет . Архивировано из оригинала 21 апреля 2014 года . Проверено 21 апреля 2014 г.
  185. ^ Тимсон, Лия (11 апреля 2014 г.). «Кто такой Робин Зеггельманн и его Heartbleed сломал Интернет?» . Сидней Морнинг Геральд . Архивировано из оригинала 19 октября 2017 года . Проверено 16 апреля 2020 г.
  186. ^ Уильямс, Крис (11 апреля 2014 г.). «OpenSSL Heartbleed: Кровавый нос для кровоточащих сердец с открытым исходным кодом» . Регистр . Архивировано из оригинала 19 сентября 2016 года . Проверено 29 августа 2017 г.
  187. ^ Смит, Джерри (10 апреля 2014 г.). «Как можно было избежать худшего кошмара Интернета» . Хаффингтон Пост . Архивировано из оригинала 19 июля 2017 года . Проверено 16 апреля 2020 г. По словам Лори, работающего в команде безопасности Google, ошибка, обнаруженная на этой неделе, была скрыта внутри 10 строк кода и могла быть обнаружена в ходе аудита.
  188. ^ Перейти обратно: а б Уолш, Джон (30 апреля 2014 г.). «Бесплатное может вызвать кровотечение» . Безопасность SSH-коммуникаций . Архивировано из оригинала 2 декабря 2016 года . Проверено 11 сентября 2016 г.
  189. ^ Пальери, Хосе (18 апреля 2014 г.). «Ваша интернет-безопасность зависит от нескольких добровольцев» . CNNMoney . Кабельная новостная сеть. Архивировано из оригинала 7 августа 2020 года . Проверено 3 августа 2020 г. .
  190. ^ Перейти обратно: а б с Перлрот, Николь (18 апреля 2014 г.). «Heartbleed подчеркивает противоречие в сети» . Нью-Йорк Таймс . Архивировано из оригинала 8 мая 2014 года . Проверено 27 февраля 2017 г. .
  191. ^ Каминский, Дэн (10 апреля 2014 г.). «Будь все еще моим разбитым сердцем» . Блог Дэна Камински . Архивировано из оригинала 14 апреля 2014 года . Проверено 22 апреля 2014 г.
  192. ^ «Вот еще один способ, которым разоблачение Heartbleed сделало Интернет более безопасным» . Ежедневная точка . 10 апреля 2014 года . Проверено 25 января 2022 г.
  193. ^ Кьюзано, Пол (8 декабря 2014 г.). «Неудачная экономика нашего общего программного обеспечения и что вы можете сделать с этим прямо сейчас» . Блог Пола Кьюзано . Архивировано из оригинала 6 апреля 2017 года . Проверено 3 ноября 2017 г.
  194. ^ Перейти обратно: а б «Amazon Web Services, Cisco, Dell, Facebook, Fujitsu, Google, IBM, Intel, Microsoft, NetApp, Rackspace, VMware и The Linux Foundation формируют новую инициативу по поддержке критически важных проектов с открытым исходным кодом» . Фонд Linux . 24 апреля 2014 года. Архивировано из оригинала 25 апреля 2014 года . Проверено 25 апреля 2014 г.
  195. ^ Пол, Ян (24 апреля 2014 г.). «После Heartbleed технологические гиганты запускают фонд для важнейших проектов с открытым исходным кодом» . Мир ПК . Архивировано из оригинала 25 апреля 2014 года . Проверено 24 апреля 2014 г.
  196. ^ «Google Project Zero стремится не допустить повторения Heartbleed Bug» . ТехРадар . 15 июля 2014 года. Архивировано из оригинала 10 апреля 2017 года . Проверено 9 апреля 2017 г.
  197. ^ Гринберг, Энди (15 июля 2014 г.). «Познакомьтесь с «Проектом Ноль», секретной командой хакеров Google, занимающихся поиском ошибок» . Проводной . ISSN   1059-1028 . Проверено 6 марта 2019 г.

Библиография

[ редактировать ]
[ редактировать ]
Retrieved from "https://en.wikipedia.org/w/index.php?title=Heartbleed&oldid=1232786628"
Arc.Ask3.Ru: конец переведенного документа.
Arc.Ask3.Ru
Номер скриншота №: f3a6d3052b09e5ab671e0635e071fcd4__1720184280
URL1:https://arc.ask3.ru/arc/aa/f3/d4/f3a6d3052b09e5ab671e0635e071fcd4.html
Заголовок, (Title) документа по адресу, URL1:
Heartbleed - Wikipedia
Данный printscreen веб страницы (снимок веб страницы, скриншот веб страницы), визуально-программная копия документа расположенного по адресу URL1 и сохраненная в файл, имеет: квалифицированную, усовершенствованную (подтверждены: метки времени, валидность сертификата), открепленную ЭЦП (приложена к данному файлу), что может быть использовано для подтверждения содержания и факта существования документа в этот момент времени. Права на данный скриншот принадлежат администрации Ask3.ru, использование в качестве доказательства только с письменного разрешения правообладателя скриншота. Администрация Ask3.ru не несет ответственности за информацию размещенную на данном скриншоте. Права на прочие зарегистрированные элементы любого права, изображенные на снимках принадлежат их владельцам. Качество перевода предоставляется как есть. Любые претензии, иски не могут быть предъявлены. Если вы не согласны с любым пунктом перечисленным выше, вы не можете использовать данный сайт и информация размещенную на нем (сайте/странице), немедленно покиньте данный сайт. В случае нарушения любого пункта перечисленного выше, штраф 55! (Пятьдесят пять факториал, Денежную единицу (имеющую самостоятельную стоимость) можете выбрать самостоятельно, выплаичвается товарами в течение 7 дней с момента нарушения.)