Heartbleed

De Heartbleed kwetsbaarheid is een programmeerfout in de OpenSSL cryptografische bibliotheek. Door de bug kan een aanvaller gevoelige informatie verkrijgen, waaronder gebruikersnamen, wachtwoorden en geheime sleutels voor versleuteling. De Heartbleed kwetsbaarheid van zonder ingrijpen van gebruikers worden uitgebuit. Er kunnen privégegevens in brokjes van 64 kb per keer worden verkregen. Officieel heet Heartbleed CVE-2014-0160. De getroffen versies omvatten OpenSSL versies van 1.0.1 tot 1.0.1f en 1.0.2-beta. De Heartbleed bug is uniek, omdat hij zo gemakkelijk kan worden uitgebuit en er geen spoor achterblijft.

De Heartbleed kwetsbaarheid omvat ook de Heartbeat extensies. Getroffen gebruikers dienen op te waarderen naar OpenSSL 1.0.1g.

OpenSSL wordt gebruikt door verschillende Internet diensten, zoals leveranciers van e-maildiensten en forums. Het OpenSSL Project is in 1998 opgericht om een hulpprogramma voor versleuteling te creëren, waarvan bekend is dat het door tweederde van de webservers wordt gebruikt. OpenSSL wordt gebruikt voor de bescherming van overheidswebsites, commerciële websites, website voor de distributie van software en dergelijke. Er wordt geschat dat er ongeveer 1,4 miljoen kwetsbare webservers zijn. Dienstverleners dienen de bug te herstellen met de Heartbleed patch en hun gebruikers aan te moedigen om hun wachtwoorden te wijzigen. Het wachtwoord dient pas te worden gewijzigd nadat de oplossing is toegepast. Als u accounts hebt bij Facebook, Instagram, Pinterest, Tumblr, Google, Yahoo, Etsy, GoDaddy, Flickr, Minecraft, Netflix, SoundCloud of YouTube, dan dient u uw wachtwoorden voor het aanmelden te wijzigen. Het is niet duidelijk of Facebook is getroffen, omdat er geen verdachte activiteiten zijn ontdekt. Het is echter aan te bevelen om uw wachtwoorden bij te werken om het uitlekken van gegevens te voorkomen.

Met betrekking tot mobiele besturingssystemen kan worden vermeld dat Apple iOS en Microsoft Phone geen OpenSSL gebruiken en dat BlackBerry heeft gerapporteerd dat BlackBerry telefoons niet zijn getroffen. Met betrekking tot Android is er gerapporteerd dat Android 4.1.1 is getroffen.

Het is sterk aan te bevelen om het wachtwoord van uw account periodiek te wijzigen en om gecompliceerde wachtwoorden te gebruiken. Volgens Microsoft zijn Microsoft Account, Office 365, Yammer, Microsoft Azure en Skype niet getroffen door de Heartbleed kwetsbaarheid.

Er wordt beweerd dat het probleem met Heartbleed bekend was bij het National Security Agency (Nationale Veiligheidsagentschap) van de V.S., wat deze bewering ontkent. Naar verluidt geef het NSA geen commentaar op het rapport over de kwetsbaarheid en ontkent het de beschuldigingen dat het op de hoogte zou zijn geweest van de kwetsbaarheid.
Heartbleed wordt beschouwd als één van de grootste problemen in het bestaan van het Internet. De Canadese regering reageerde bijvoorbeeld met het tijdelijk staken van elektronische belastingaangiftes.