Heartbleed-haavoittuvuus

Heartbleed-haavoittuvuus on 7. huhtikuuta 2014 paljastunut tietoverkkojen OpenSSL-kirjastoja koskeva haavoittuvuus. Aukon virallinen nimi on CVE-2014-0160, mutta se tunnetaan nimellä Heartbleed. Se aiheuttaa verkkopalveluille monia riskejä, koska haavoittuvuuden kautta saattoi vuosien ajan vuotaa sekä palvelun käyttäjien salasanoja ja käyttäjätunnuksia sekä salatun yhteyden luomista varten tarvittava palvelinsertifikaatin salausavain. Hyökkääjä voi tällöin urkkia käyttäjien käyttäjätunnuksia. Haavoittuvuuteen johtaneen virheen ohjelmakoodissa teki saksalainen Robin Seggelman uutenavuotena 2011. 

Haavoittuvia OpenSSL-kirjastoja käyttäneistä palveluista on vaihdettava salasanat, mutta vasta sen jälkeen, kun palvelun haavoittuvuus on korjattu. Mahdollisuus palvelinsertifikaatin salausavaimen vuotamiseen aiheuttaa verkkourkintariskin. Suomalaisten käyttämiä tälle haavoittuvuudelle altistuneita palveluja ovat Google, Facebook, Instagram, Pinterest, Tumblr, Yahoo, Amazon.com, Dropbox, GitHub, SoundCloud ja Wikipedia. 

Haavoittuvuuden löysivät samanaikaisesti oululaisen tietoturvayhtiö Codenomiconin tutkijat Riku, Antti ja Matti sekä Google Securityn tutkija Neel Mehta. Löytäjät myös tuotteistivat haavoittuvuuden luomalla sille nimen ja logon.

Tunnetuimmat verkkopalvelut korjasivat haavoittuvuuden melko pian, mutta vähemmän käytetyissä oli monia, jotka eivät tehneet korjausta. Tietoturvayritys Errata Security löysi alun perin 600 000 Hearthbleed-haavoittunutta palvelinta. Kuukausi myöhemmin haavoittuvuus oli 300 000 koneessa, eikä määrä enää jatkossa olennaisesti vähentynyt. Heartbleedin arveltiin häviävän vähitellen seuraavan vuosikymmenen aikana, sitä mukaa kun vanhoja palvelimia vaihdetaan uusiin.

Lähteet

Aiheesta muualla 
 Heartbleed test: Testaa serveri Heartbleedin varalta.

Tietoturva
Ohjelmointivirheet