Vulnerabilidad Heartbleed: Lo que Necesita Saber

El 7 de abril de 2014 se anunció una grave vulnerabilidad llamada "Heartbleed". Heartbleed es una vulnerabilidad dentro de la serie OpenSSL 1.0.1 software que se describe en el anuncio NIST CVE-2014-0160. En resumen, esta vulnerabilidad permite a los piratas informáticos acceder a partes de la memoria de un sistema vulnerable, lo que puede dar lugar a la exposición de contraseñas, datos confidenciales y claves privadas de certificados en los sistemas afectados. Heartbleed logra esto explotando una debilidad en la "TLS Heartbeat Extension," exponiendo la memoria del servidor. Peor aún, este ataque de latido puede repetirse sin que la víctima lo sepa, y cada iteración revela otra instantánea de 64k de memoria al atacante. Esta gravísima vulnerabilidad expone los datos más sensibles de los sistemas afectados.

The good news: the vulnerability has a patch. However, the widespread adoption of the OpenSSL 1.0.1 series software, coupled with the two years that this vulnerability has existed, means that the risks attributable to Heartbleed are enormous. Current estimates predict that over 500,000 systems may be vulnerable. Specifically, the Heartbleed vulnerability affects those systems that use OpenSSL 1.0.1 (a-f). Unfortunately, since this software is so widely implemented, many popular OS platforms are affected and thus vulnerable. I would suggest visiting the CERT Web Site for a more list of affected platforms. It is worth mentioning that this is a developing story, and as such, the list of affected platforms is likely to change.

Es importante comprender que esta vulnerabilidad no se limita únicamente a los servidores web. Dada la popularidad de OpenSSL, la tendencia actual a la "Internet de los objetos" y el hecho de que muchos dispositivos modernos vienen ahora con interfaces de configuración web protegidas por SSL , el alcance de los dispositivos potencialmente vulnerables es inmenso. Desde los enrutadores de red hasta los sistemas de control industrial pueden ser vulnerables.

Determinar el alcance de su exposición a esta vulnerabilidad puede ser un reto no trivial para una gran organización. La determinación de la vulnerabilidad incluirá sin duda una revisión de las plataformas corporativas afectadas y de las versiones de OpenSSL utilizadas en esos sistemas. Además, si está ejecutando la última versión de OpenSSL, existen métodos de script que se pueden utilizar para consultar de forma interactiva un sistema para determinar su vulnerabilidad, como la línea command a continuación:

echo -e "quit\n" | openssl s_client -connect 192.168.1.1:443 -tlsextdebug 2>&1 | grep 'server extension "heartbeat" (id=15)' || echo safe

Por último, hay sitios en línea que, dado un host y un puerto DNS , pueden comprobar si existe la vulnerabilidad Heartbleed.

Si uno determina que su sitio o servidor es vulnerable, ¿entonces qué? ¿Cuál es la mejor forma de actuar?

If a server is determined to be vulnerable, then to be completely safe, one must assume that all sensitive data that may have ever been in the memory of that system has been compromised. It’s important to remember that this vulnerability has been a part of the OpenSSL code base for over 2 years. And given the untraceable nature of this exposure, there is no sure way to determine the extent of any attack, therefore all data on affected systems should be suspect.

• Todas las cuentas afectadas deberán restablecer sus contraseñas.
• Todos los certificados de sistemas vulnerables con claves privadas no protegidas por un HSM o un hardware criptográfico deben revocarse y sustituirse por certificados que contengan claves nuevas.
• Cualquier dato sensible tendría que ser evaluado en cuanto a su compromiso.

It’s also important to understand that this is not a compromise of PKI, SSL, TLS or X.509 certificates. Heartbleed is more of an exploit of the systems that use PKI. And as such, any new certificates that are required to re-key vulnerable systems, would be subject to the original certificate requirements that were used to create the original certificates. That said, CSS always suggests that during any certificate re-keying or re-enrollment event, an analysis of the key size, hash algorithm, and chaining requirements be performed as a part the overall certificate enrollment process.Another Heartbleed read.Contact us.