Heartbleed: la falla che fa tremare Internet. Cosa bisogna sapere e come difendersi
Hartbleed è il nome della gravissima falla che sta letteralmente facendo tremare il mondo di Internet. Si tratta di un errore di programmazione (e non di un sabotaggio internazionale) che da due anni è presente nel codice di OpenSSL, uno dei software di autenticazione e cifratura più utilizzati.
Si stima che due terzi dei siti Web che utilizzano questo protocollo di sicurezza siano interessati dal problema.
È stata rilasciata la versione 1.0.1 di OpenSSL che chiude la falla Hartbleed, ma è necessario che gli amministratori dei vari siti effettuino l’aggiornamento.
Senza entrare troppo nei tecnicismi, OpenSSL è utilizzato da quei siti il cui URL inizia con https e compare l’icona di un lucchetto.
La vulnerabilità è stata definita senza mezzi termini “catastrofica” perché consente a un aggressore di rubare dati riservati come password, documenti, numeri di carte di credito e così via, trasmessi dai siti che utilizzano OpenSSL, e senza interagire con il computer o dispositivo della vittima (quindi è irrilevante se utilizzate Mac, Windows, iOS, Android e così via). Ma, ben più grave, Heartbleed consente a una pagina Web appositamente modificata di apparire come un sito attendibile con tanto di lucchetto chiuso e https.
La parziale buona notizia è che solo la National Security Agency (NSA) ha i mezzi per sfruttare questa falla, ma non è chiaro se l’ha fatto perché è un tipo di aggressione che non lascia tracce.
Yahoo e Google hanno già annunciato di aver effettuato l’aggiornamento e ora sono “siti sicuri”.
Come difendersi e cosa fare
Per sapere se i siti che visitate sono vulnerabili o sono stati aggiornati, collegatevi a questo indirizzo www.ssllabs.com/ssltest/, digitate l’URL del sito nel campo “Domain name” e premete Invio.
Se il sito è vulnerabile a Heartbleed, smettete di visitarlo e soprattutto NON cambiate la password perché potrebbe essere “intercettata”.
Se il sito NON è vulnerabile a Heartbleed cambiate immediatamente password, ma dovete sceglierne una mai utilizzata fino ad ora, e non adoperatela per altri siti.
14 commenti
Quindi “A” sta per sicuro , “B” un po meno e via dicendo…. giusto??
Devi prestare attenzione alla scritta “This server ….” evidenziata con due frecce rosse nell’ultima immagine dell’articolo 😉
su alcuni che ho “controllato” mi esce solo una tabella,non come la fineco da te controllata
Assicurati che il test sia terminato (può durare anche qualche minuto) oppure mandami uno screenshot via e-mail
Stavo per verificare Fineco… Grazie, l’hai già fatto tu 🙂
e un “No secure protocols supported”? esempio di risultato per Enelenergia
Significa che Enelenergia non supporta il protocollo https
“I vantaggi del open source è che tutti possono vedere il codice e trovare i bug”, citazione scritta e letta milioni di volte.
Già, li stiamo vedendo, i vantaggi…
Compresi i malintenzionati
Ho provato ad inserire poste.it; potete darmi una spiegazione alla risposta del test?
Poste.it non è vulnerabile all’attacco Heartbleed (quindi puoi/devi cambiare la password), ma è vulnerabile ad un altro tipo di attacco chiamato MITM attacks click qui.
Gentile Stefano, grazie innanzitutto per la tempestiva risposta.
Ho letto quanto riportato dal link che hai suggerito.
Ritieni opportuno che cambi la psw? Se si lo devo fare periodicamente?
In attesa di risposta, grazie e saluti.
Si ad entrambe le domande (cambia la password almeno 1 volta ogni 2 anni) 😉
Scusa per il ritardo nella risposta.
Grazie!
Saluti