Esta semana o destaque na área de segurança na web foi a notícia da existência do Heartbleed, um “bug na internet” que recentemente afetou a segurança de dados como login e usuário em diversos sites do mundo todo.
O que você deve saber pra se proteger
A Resultados Digitais, de quem o portal AcontecendoAqui é cliente, avaliou a situação da sua plataforma RD Station e não há evidências de que dados de seus usuários tenham sido prejudicados. Porém, como uma precaução, a empresa recomenda que todos mudem suas senhas de login.
O Heartbleed deixa vulnerável os dados de usuário e senhas em vários sites. De maneira resumida, essa falha faz com que as suas informações de login pudessem ser roubadas – e usadas – por outras pessoas.
Basicamente todos os sites do mundo estão tomando ações para evitar que o problema afete seus usuários. Por isso, por medida de segurança, recomenda-se que você redefina suas senhas e que compartilhe essa informações com os demais membros da sua equipe e de seu relacionamento.
Para entender melhor
O problema foi detectado no OpenSSL (Secure Sockets Layer) e do TLS (Transport Layer Security), que é uma biblioteca de protocolo de criptografia amplamente usada para codificar e proteger dados que trafegam entre servidores (como seus logins e senhas). Sites protegidos pelo OpenSSL têm um ícone de cadeado na barra do navegador. O Heartbleed é uma falha que permite que pessoas acessem remotamente esses dados, o que as permite fazer um mau uso dessas informações.
O Heartbleed, ou OpenSSL TLS ‘heartbeat’ Extension Information Disclosure Vulnerability (CVE-2014-0160), afeta um componente do OpenSSL conhecido como “heartbeat”, e estima-se que a vulnerabilidade já exista há dois anos, embora só tenha sido descoberta e publicamente anunciada nesta semana.
Como funciona
O Heartbleed explora uma falha no OpenSSL, que não verifica corretamente o tamanho de um pacote de dados, ou “payload”, na resposta do servidor a um comando. Ao manipular a comunicação um atacante pode enganar um servidor, fazendo com que ele retorne um pedaço do conteúdo de sua memória (até 64KB) na resposta. Capturando múltiplos pedaços de 64 KB por vez, um atacante pode vasculhar essa cópia da memória em busca das chaves de segurança usadas para criptografar a comunicação entre o servidor e os usuários. De posse da chave, a comunicação se torna um “canal aberto”, e o malfeitor pode capturar nomes de usuário, senhas e quaisquer dados que estejam trafegando no momento.
É uma questão extremamente grave, que afeta cerca de 500.000 servidores, de acordo com a Netcraft, uma empresa de pesquisa de Internet. Aqui está o que você pode fazer para garantir que suas informações são protegidas, de acordo com especialistas em segurança.
Como se proteger
Para as empresas:
Caso estejam usando o OpenSSL versão 1.0.1 até a versão 1.0.1f, deve atualizar o software para a versão mais recente (1.0.1g) ou recompilar a solução sem a extensão Heartbeat, usando a flag -DOPENSSL_NO_HEARTBEATS.
Após isto, se você acredita que o certificado do servidor de Internet possa ter sido corrompido, entre em contato com a autoridade responsável pela certificação e peça a troca;
Além disso, como uma boa prática, as empresas devem considerar a alteração das senhas dos usuários finais – especialmente aquelas com indícios de violação.
Já os usuários comuns de Internet podem:
Monitorar qualquer notícia dos fornecedores que você utiliza. Uma vez que a vulnerabilidade é comunicada, os consumidores devem alterar suas senhas;
Evitar acessar e-mail com links estranhos, pois eles podem conter o chamado phishing – as iscas, que buscam o seu clique;
Não acesse sites duvidosos. Opte por portais oficiais e com reputação;
Acompanhe a sua conta bancária e fatura do cartão de crédito. Desconfie de qualquer transação incomum ao seu perfil;
Esteja ciente de que seus dados podem ser vistos por terceiros, principalmente se utiliza provedores de serviço vulneráveis.
Sites afetados
O site GitHub liberou uma lista com sites afetados e com sites não afetados pela falha. Alguns conhecidos estão na lista de páginas vulneráveis – como o Yahoo e seus serviços como o Flickr e o Tumblr, mas sites de outras gigantes da tecnologia como Facebook, Google e seus respectivos serviços (como Instagram e Blogger) estão livres de qualquer problema, informou o portal Computworld.
Algumas empresas já estão tomando providências para evitar maiores estragos. O Tumblr, por exemplo, admitiu ter sido atingido pela falha e já está solicitando aos seus usuários a troca de senhas. O mesmo é recomendado para outros sites que você acessa e entrou na lista dos afetados.
Clique aqui para conhecer a lista completa dos sites afetados.
E para checar a segurança dos sites que você acessa, clique aqui.
Digite o endereço no local indicado e clique no botão “Go!” para ter o resultado.
