Descoberta na semana passada, o Heartbleed segue infernizando a vida dos gestores de Segurança de TI. Projeções dão conta que mais de 500 mil servidores já foram atingidos nos últimos sete dias, entre eles, os de empresas como Amazon, Netflix e Cisco. O governo dos EUA lançou um alerta às principais detentoras de infraestrutura. Na Alemanhã também houve um alerta. No Brasil, não há, ainda, informações oficiais sobre o impacto da falha. Os dispositivos móveis também não estão fora do radar da falha. Em especial, os que rodam Android.
A falha de segurança acontece em uma das implementações mais usadas do SSL (Secure Sockets Layer) e do TLS (Transport Layer Security), protocolos de segurança que são utilizados em inúmeros sites com o intuito de criptografar o tráfego entre dois computadores. Ou seja, manter a conexão segura. A falha, descoberta pela empresa finlandesa Codenomicon em conjunto com Neel Mehta, um pesquisador da equipe de segurança da Google, atingiu servidores de gigantes como Juniper, Cisco, Yahoo, Tumblr, Amazon e Netflix.
O Heartbleed, ou OpenSSL TLS ‘heartbeat’ Extension Information Disclosure Vulnerability (CVE-2014-0160), afeta um componente do OpenSSL conhecido como “heartbeat”, e estima-se que a vulnerabilidade já exista há dois anos, embora só tenha sido descoberta e publicamente anunciada na semana passada. O Heartbleed afeta somente o OpenSSL e não o protocolo de segurança SSL em si. Quando explorada, a vulnerabilidade de programação do OpenSSL permite a atacantes externos ler os conteúdos da memória dos servidores web e, com isso, ter acesso a informações críticas como chaves SSL de sites, nomes de usuário e senhas, e até mesmo dados pessoais do usuário, como e-mail, mensagens instantâneas e arquivos.
Reportagem publicada na Agência Reuters informa que o governo dos Estados Unidos, por exemplo, alertou bancos, operadores de infraestrutura e outras organizações nesta sexta-feira para ficar alertas em relação a criminosos que podem tirar vantagem do bug “Heartbleed” para roubar dados de redes vulneráveis. Em um site para assessorar operadores de infraestruturas críticas sobre ameaças cibernéticas, o Departamento de Segurança Interna pediu que organizações informem quaisquer ataques relacionados ao Heartbleed.
Reguladores federais pediram que instituições financeiras identifiquem quaisquer sistemas vulneráveis, consertem as redes e depois realizem testes para garantir sua segurança. O Departamento de Segurança Interna está trabalhando com governos federais, estaduais e locais para descobrir e mitigar potenciais ameaças, disse Larry Zelvin, diretor do centro de integração comunicacional do Departamento de Segurança Interna norte-americano, em uma publicação em um blog da Casa Branca nesta sexta-feira, 12/04.
“Enquanto não foram reportados ataques ou incidentes maliciosos envolvendo essa vulnerabilidade em particular neste momento, ainda é possível que atores maliciosos do ciberespaço possam explorar sistemas vulneráveis”, disse Zelvin. O governo alemão lançou um alerta que ecoou outro comunicado emitido por Washington, descrevendo o bug como “crítico”. “Um invasor pode se aproveitar da vulnerabilidade e pode ler o conteúdo de memória dos servidores OpenSSL”, isse o comunicado publicado pelo escritório federal alemão de segurança da informação.
Mobilidade
Segundo publicação da própria Google em um de seus blogs oficiais, o Heartbleed pode afetar aparelhos com Android. De acordo com a empresa, a brecha é percebida somente na versão 4.1.1 do Android — também conhecida como Jelly Bean e que foi lançada em julho de 2012.
Conforme o Developer Android, site da empresa voltado para desenvolvedores, o Jelly Bean representa 34,4% de todos os dispositivos com o SO da companhia ativos no mundo, os quais totalizam cerca de 900 milhões de smartphones e tablets. Se levarmos esses dados em conta, chegaríamos ao cálculo de quase 309,6 milhões de gadgets vulneráveis. Ao site Bloomberg, o porta-voz do Google, Christopher Katsaros, diz que menos de 10% do total de dispositivos em funcionamento são suscetíveis à falha, mas ainda assim são mais de 90 milhões de dispositivos.
De acordo com o estudo da Trend Micro, cerca de 390 mil aplicativos do Google Play e cerca de 1,3 mil apps conectados a servidores vulneráveis foram encontrados. Entre eles estão 15 aplicativos relacionados a bancos, 39 a pagamentos online e 10 a compras online. Também foram identificados problemas em apps de uso diário como mensagens instantâneas e de saúde.
Por: Convergência Digital