Почти 200 000 сайтов по-прежнему уязвимы перед проблемой Heartbleed

Почти 200 000 сайтов по-прежнему уязвимы перед проблемой Heartbleed

Почти 200 000 сайтов по-прежнему уязвимы перед проблемой Heartbleed

Уязвимость Heartbleed (CVE-2014-0160), выявлена в популярной криптографической библиотеке OpenSSL еще в 2014 году. Основная проблема связана с отсутствием необходимой проверки границ в одной из процедур расширения Heartbeat (RFC6520) для протокола TLS/DTLS.

Из-за этой маленькой ошибки кто угодно может получить доступ к оперативной памяти машин, чьи коммуникации «защищены» уязвимой версией OpenSSL. В том числе, злоумышленник получает доступ к секретным ключам, именам и паролям пользователей и всему контенту, который должен передаваться в зашифрованном виде. При этом не остается никаких следов проникновения в систему, сообщает xakep.ru.

23 января 2017 года глава и основатель Shodan Джон Мазерли (John Matherly) представил свежий отчет о проблеме Heartbleed. Оказалось, что спустя почти три года уязвимость все еще представляет опасность для 199 594 сайтов, чьи администраторы, видимо, очень не любят устанавливать обновления. Подробную статистику по странам можно увидеть ниже.

 

 

 

Мазерли пишет, что около 75 000 уязвимых систем также используют истекшие SSL-сертификаты и работают на Linux 3.x.

Нежелание пользователей и администраторов обновлять ПО, остается одной из главных проблем, наряду с неугасающей любовью к паролю «123456». Совсем не удивительно, что в прошлом году специалисты Microsoft назвали самой опасной угрозой Stuxnet, хотя патч для этой проблемы был выпущен шесть лет тому назад. Еще одно доказательство беспечности пользователей – отчет специалистов Sophos, тоже представленный в прошлом году. Исследователи выявили, что эксплоиты для Office 2003, 2007 и 2010 по-прежнему занимают лидирующие позиции во всех топовых эксплоит-китах. Тогда авторы отчета писали, что сложившаяся ситуация напоминает им современный вариант дарвиновского труда «Происхождение видов».

Хостинг-провайдерам хотят запретить работать с VPN-сервисами

В России могут серьёзно усложнить жизнь не только VPN-сервисам, но и тем, кто даёт им инфраструктуру. Ко второму чтению законопроекта «Антифрод 2.0» подготовлены поправки, которые затрагивают хостинг-провайдеров.

Как выяснил «Коммерсант», компаниям могут запретить предоставлять серверы и вычислительные мощности тем, кто обеспечивает доступ к запрещённой информации. Под это определение потенциально подпадают и владельцы VPN-сервисов.

Если поправки примут, хостинг-провайдеры фактически перестанут быть просто «техническими посредниками». Им придётся самим проверять клиентов — сверять их с различными списками и отказывать в обслуживании тем, кто может нарушать требования.

И вот тут начинаются сложности. У многих компаний сейчас просто нет готовых инструментов и процессов, чтобы эффективно определять таких клиентов. А значит, переход на новую модель работы потребует дополнительных затрат — и времени, и денег.

На рынке уже предупреждают: всё это, скорее всего, скажется на ценах. Хостинг и так подорожал за последнее время более чем на 30% — из-за роста НДС и внедрения систем СОРМ. А новые требования могут добавить ещё один виток расходов.

Гендиректор хостинг-провайдера RUVDS Никита Цаплин считает, что интеграция с базами Роскомнадзора и необходимость отказывать части клиентов почти неизбежно приведут к дальнейшему росту стоимости услуг.

Напомним, сегодня пользователи начали замечать, что мобильное приложение «Госуслуг» больше не открывается при включённом VPN. Проблемы, по сообщениям пользователей, затронули и другие сервисы — например, «Яндекс Пэй».

RSS: Новости на портале Anti-Malware.ru