Questa vignetta e' una buona spiegazione di come il bug Heartbleed può essere sfruttato per pigliare info di terzi da un server durante una sessione SSL.
In realtà è un po' più complesso di così perchè i dati si possono pigliare a blocchi da 64K, perchè ciò che vedi non è chiaramente identificabile, ecc. prendere cookies di sessione è difficile, password molto di più, certificati di server ancora di più. ma non impossibile.
Questo articolo del FT recita..
The first evidence of cyber thefts as a result of the “Heartbleed” bug has emerged with social insurance numbers stolen from the Canadian tax authority and passwords and private messages accessed from the UK site Mumsnet.
In una delle slide di Snowden c'era scritto che NSA era in grado di violare SSL. vedendo i numeri in un'altra slide, risultava che erano in grado di essere più efficaci con le mail di yahoo che di google, nonostante gli utenti siano piu' numerosi su google. una differenza e' che google usava https.
se questo fosse stato un bug exploited da NSA, ciò sarebbe una spiegazione plausibile di come riuscivano a beccare mail da google ed il fatto che lo facessero in misura assai inferiore rispetto a yahoo, essendo piu' complicato (per yahoo bastava guardare la mail in chiaro sniffata dal GCHQ dal traffico in transito sulle fibre)
Bloomberg lo dice esplicitamente (avranno qualche fonte), NSA nega (che dovrebbe fare ?)
questa vicenda dovrebbe servire di monito alle agenzie di intelligence (anche per le vulnerabilita' introdotte artatamente nella generazione di numeri casuali di algoritmi di cifratura): un segreto non e' per sempre e la backdoor per l'intelligence di oggi, diventa la vetrina da infrangere domani per i cracker.
fortunatamente la cosa pare meno diffusa di quanto ipotizzato inizialmente da varie fonti.
questi sono i checker che sto usando io per vedere se sono stati patchati i servizi che uso
uno e due e ci sono anche estensioni per i browser: per chrome e firefox
cosa fare come utente ?
fare logout dai siti e' sempre cosa buona e giusta
e poi, una volta che i siti sono stati patchati, cambiare password..
io cancello i cookies molto frequentemente, anche se cio' puo' risultare un po' scomodo, usando questo tool
certo, devi fare login di nuovo ed avendo centinaia di password tutte diverse puo' essere fastidioso...
uso questo password manager
non perche' sia "il migliore", dato che i criteri sono sempre soggettivi. per me e' comodo che c'e' anche il plugin per il browser Dolphin che uso su android
ogni x mesi dedico qualche ora a cambiare quasi tutte le password. piu' frequentemente cambio quelle della mail e del mio DNS, che sono la radice da cui dipendono tutte le altre password dato che con la mail, si recuperano o cambiano tutte le altre password.
se ci sono siti che non uso frequentemente, ma dove mi registro per valutare un servizio, uso un indirizzo email di quelli che scadono dopo pochi minuti, grazie a questo plugin che ne facilita enormemente l'uso. (inutile spargere info personali in giro..)
non c'entra con heartbleed, ma se avete a cuore la vs privacy, questo e' un tool carino per non dare a terzi dati sul vostro browsing
Ultimi commenti