Vlákno názorů k článku Chyba OpenSSL umožňuje číst chráněná data, ohrozila až dvě třetiny služeb od Filip Jirsák - Změna klíčů předpokládá, že útočník o chybě věděl...

Změna klíčů předpokládá, že útočník o chybě věděl dříve, než byla oficiálně zveřejněna, a že tuhle chybu nezneužil k útoku na něco pořádného, ale zrovna na můj server. Zvlášť když je útočník odkázán jen na to, co zrovna v paměti najde.

U internetového bankovnictví ta změna klíčů určitě potřebná je, u velkých poskytovatelů služeb (e-mail, cloud apod.) také. Ale u nějakého serveru pro pár lidí jsou podle mne mnohem větší rizika, než že zrovna tam tuhle chybu někdo zneužil. Samozřejmě ale také záleží na tom, jak dlouho byl server nezáplatovaný po objevení chyby. Souhlasím s tím, že je potřeba obezřetnost - tj. ne bezhlavě a špatně vyměnit klíče, ale rozmyslet to a udělat to dobře, i když třeba o něco později.

Kdyby ta chyba nebyla do OpenSSL zavlečena před dvěma roky, myslel bych si, že je to reakce na mediální humbuk kolem ukončení podpory Windows XP, kdy to z médií občas vypadalo, že všechny počítače s Windows XP druhý den explodují. Bezhlavá výměna všech hesel a všech klíčů je úplně stejný typ reakce, jako na ty Windows XP.
Na rozdíl od strašení koncem Windows XP ale tenhle humbuk bude mít reálný negativní bezpečnostní dopad, protože se útočníkům podaří při tom horlivém obměňování některá hesla nebo klíče opravdu získat. Ať už pomocí phishingu, odposlechem na nezazáplatovaných strojích, nebo tím, že administrátor bude honem honem vyměňovat klíče, aby byl v bezpečí, a udělá to špatně.