Heartbleed-haavoittuvuus

Heartbleed-haavoittuvuus on 7. huhtikuuta 2014 paljastunut tietoverkkojen OpenSSL-kirjastoja koskeva haavoittuvuus. Aukon virallinen nimi on CVE-2014-0160, mutta se tunnetaan nimellä Heartbleed. Se aiheuttaa verkkopalveluille monia riskejä, koska haavoittuvuuden kautta saattoi vuosien ajan vuotaa sekä palvelun käyttäjien salasanoja ja käyttäjätunnuksia sekä salatun yhteyden luomista varten tarvittava palvelinsertifikaatin salausavain. Hyökkääjä voi tällöin urkkia käyttäjien käyttäjätunnuksia. Haavoittuvuuteen johtaneen virheen ohjelmakoodissa teki saksalainen Robin Seggelman uutenavuotena 2011. 

Haavoittuvia OpenSSL-kirjastoja käyttäneistä palveluista on vaihdettava salasanat, mutta vasta sen jälkeen, kun palvelun haavoittuvuus on korjattu. Mahdollisuus palvelinsertifikaatin salausavaimen vuotamiseen aiheuttaa verkkourkintariskin. Suomalaisten käyttämiä tälle haavoittuvuudelle altistuneita palveluja ovat Google, Facebook, Instagram, Pinterest, Tumblr, Yahoo, Amazon.com, Dropbox, GitHub, SoundCloud ja Wikipedia.Heartbleed-haavoittuvuus koskee useita suomalaisten käyttämiä palveluita. Kyberturvallisuuskeskus 11.4.2014. Viitattu 11.4.2014. 

Haavoittuvuuden löysivät samanaikaisesti oululaisen tietoturvayhtiö Codenomiconin tutkijat Riku, Antti ja Matti sekä Google Securityn tutkija Neel Mehta.Heartbleed.com. Codenomicon 11.4.2014. Viitattu 11.4.2014. Löytäjät myös tuotteistivat haavoittuvuuden luomalla sille nimen ja logon. Logon suunnitteli graafinen suunnittelija Leena Kurjenniska.

Tunnetuimmat verkkopalvelut korjasivat haavoittuvuuden melko pian, mutta vähemmän käytetyissä oli monia, jotka eivät tehneet korjausta. Tietoturvayritys Errata Security löysi alun perin 600 000 Hearthbleed-haavoittunutta palvelinta. Kuukausi myöhemmin haavoittuvuus oli 300 000 koneessa, eikä määrä enää jatkossa olennaisesti vähentynyt. Heartbleedin arveltiin häviävän vähitellen seuraavan vuosikymmenen aikana, sitä mukaa kun vanhoja palvelimia vaihdetaan uusiin.Heartbleed-paniikki kaikkosi – mutta liian aikaisin?. Digitoday 23.6.2014. Viitattu 24.6.2014.

OpenSSL:n parissa työskenteli kokopäiväisesti vain yksi henkilö, mutta haavoittuvuuden löytymisen jälkeen useat yritykset lupasivat lisärahoitusta Linux Foundationin kautta.

 Lähteet 

 Aiheesta muualla 
 Heartbleed test: Testaa serveri Heartbleedin varalta.

Luokka:Tietoturva
Luokka:Ohjelmointivirheet