Il fenomeno virale di Hearbleed, o meglio le conseguenze del suo passaggio, si stanno palesando e gli utenti devono stare in allerta, o per lo meno mettersi al riparo... ammesso siano ancora in tempo.
Infatti, nonostante le misure precauzionali, il Canada Revenue Agency (il fisco canadese) ha subito la sottrazione di 900 numeri di previdenza sociale da parte di anonimi malintenzionati che hanno sfruttato il bug Heartbleed. L'agenzia per motivi precauzionali ha disabilitato l'accesso al pubblico dei propri servizi lo scorso 8 aprile, quando il mondo è venuto a conoscenza della pericolosa vulnerabilità.
Se i possessori di tablet e smartphone finora si sono sentiti relativamente tranquilli, i ricercatori del settore hanno lanciato un allarme che riguarda anche questi dispositivi seppur limitatamente all'OS Android.
Mentre i ricercatori di Symantec riportano che la maggior parte dei browser non si basano su OpenSSL per implementare l'HTTPS, e questo li mette al riparo da Heartbleed, lo stesso non si può dire per il sistema operativo Android.
Ars Tecnica spiega come un dispositivo che monto il sistema operativo mobile di Google potrebbe essere stato compromesso.
Lo scenario più probabile, spiegano, prevede che l’utente venga attirato su un sito pieno di trappole e che contenga exploit in grado di caricare dati delle banche o altri dati sensibili di servizi online in una tab separata. Immettendo traffico malevolo su una tab, l’autore dell’attacco può estrarre contenuti dalla memoria corrispondenti ai siti caricati in altre tab. Una versione meno sofisticata dell’attacco, ma anche molto più facile da portare avanti, permette di immettere comandi malevoli in un browser Android vulnerabile e usarli per estrapolare dati sensibili dai contenuti della memoria.
Con tutte le versioni customizzate di Android in circolazione non è facile fornire una lista esaustiva dei dispositivi potenzialmente a rischio. Ma la buona notizia è che è appena uscita Heartbleed Sicurezza Scanner, un'app gratuita sviluppata da Lookout Mobile, in grado di dirvi se il telefono o il tablet sono in pericolo.
Scaricate l'app e lanciatela. L'app vi dirà anche se l'estensione Heartbeat che contiene il codice buggato è abilitata. Nel caso i test diano esiti negativi, o indichino che l’estensione non è abilitata, potete stare tranquilli. Altrimenti è meglio essere molto cauti nell'usare il dispositivo, finché non arriva la patch che risolve il problema.
0 commenti:
Posta un commento