Hlavní navigace

Dva měsíce po Heartbleedu: víc než půlka ohrožených serverů není opravena

David Slížek

A co víc: tempo instalace oprav oproti prvním týdnům po odhalení závažné bezpečnostní chyby zásadně pokleslo. Zranitelné zůstávají i tisíce serverů v Česku.

Málokteré bezpečnostní chybě se dostalo tak velké mediální odezvy, jako bugu Heartbleed. V polovině dubna jste na zprávy o bezprecedentním ohrožení bezpečnosti na internetu mohli narazit i v mainstreamových médiích.

Déle než dva měsíce poté ale více než polovina chybou postižených serverů stále zůstává zranitelná. Americká bezpečnostní firma Errata Security v dubnu našla skenováním portu 443 na 600 tisíc zranitelných serverů. A dnes ve světě stále zůstává přes 300 tisíc serverů, jejichž správci nenainstalovali potřebné opravy, napsala firma na svém blogu.

Za poslední měsíc se přitom jejich počet změnil jen velmi mírně. Dá se předpokládat, že v první vlně chybu opravili hlavně provozovatelé velkých služeb. A ti, kteří příslušné patche OpenSSL nenainstalovali ani dva měsíce poté, o zranitelnosti svých serverů možná vůbec netuší, nebo je jim jedno. A to není dobrá zpráva, i vzhledem k tomu, že bezpečnostní problémy OpenSSL Heartbleedem zdaleka nekončí.

Podobná situace bude zřejmě i v České republice. Počet zranitelných českých IP adres tu do konce května zobrazoval projekt We Bleed. I z jeho grafu je vidět, jak tempo oprav po prvním skoku rychle kleslo. Z původních 6655 zranitelných IP adres (k 15. dubnu) jich k 24. květnu bylo stále zranitelných 3570. Novější data bohužel projekt nenabízí.

START17

Heartbleed prostě zůstává naživu, byť už se o něm tolik nepíše. Server Techcrunch k tomu dodává, že se asi budeme muset smířit s faktem, že řada serverů prostě zůstane zranitelná. 

Pro uživatele to není dobrá zpráva. Proti případným následkům se mohou bránit hlavně tím, že se nebudou přihlašovat k serverům, které nepotvrdily, že chybou Heartbleed netrpí, a tím, že budou pro každou službu používat jiné heslo.

Našli jste v článku chybu?
23. 6. 2014 16:24
dan (neregistrovaný)

a pro praktickou aplikaci doporučuji přečíst:

http://www.theregister.co.uk/2014/06/23/aviva_heartbleed_hack/

1000 Iphone smazaných :-)

24. 6. 2014 3:06

Většina zranitelných serverů dnes už nejsou klasické webové servery, ale spíš zařízení jako NAS apod., Rob z Errata Security to uvádí na Twitteru: https://twitter.com/ErrataRob/status/481234479827021825 - v čechách je to podobné.

Takže, koukněte na svůj NAS, jestli pro něj není novější firmware a aktualizujte!