Kép: Pixabay

Egy komoly hiba miatt kiszolgáltatottá válhat bármely cég, ha nem frissíti a web vagy levelező szerverét kiszolgáló openSSL szoftver beállításait. A NETLOCK az elmúlt napokban már értesítette ügyfeleit minderről, majd saját ügyfélkörén és a hazai top100  weboldalon tesztelt: az eredmények alapján a szakemberek azt becsülik, hogy a magyar web- és levelező szerverek akár 15-20%-a lehet érintett.

Nem vírus, de a biztonsági kockázat magas

Az SSL egy internet biztonsági megoldás, amely arra szolgál, hogy web-szerverek esetén titkosítsa a weboldal tartalmát és a látogató által megadott adatokat, levelező-szerver esetén pedig az e-mailek tartalmát védje. Az elmúlt időszakban több hírportál is beszámolt arról, hogy egyes SSL-lel védett szerverek titkosítása könnyedén feltörhetővé vált.

„Az SSL egy bevált, nemzetközileg elismert biztonsági protokoll, azonban az elmúlt hetekben napvilágra került az a probléma, amely az SSL régebbi verzióin keresztül biztonsági rést kínál. Ez a probléma néhány szerverbeállítás módosításával megszüntethető, de nélküle kiszolgáltatottá válhat a szerver a támadások ellen.” – mondta el Molnár Ferenc a NETLOCK vezetője. A szolgáltató azok után, hogy minden ügyfelét tájékoztatta a problémáról, először saját ügyfélkörében lévő SSL és domain tartományokon indított tesztet, majd az általuk 100 legfontosabbnak ítélt hazai weboldalon is lefuttatta a szoftverét. Az eredmények alapján a NETLOCK úgy becsüli, hogy a hazai weboldalak 15-20%-a lehet sebezhető a probléma miatt.

„A legsúlyosabb gondot azokon az oldalakon okozhatja mindez, ahol ügyféladatok megadása történik, például regisztrációs felületen, webshopban vagy fizetéskor, mert az SSL feltörésével minden kommunikáció láthatóvá válik. Vagyis könnyedén megszerezhetik a hackerek az oldalon megadott személyes adatokat, jelszavakat” – tette hozzá az informatikai biztonsági szakember.

Az openssl.org még februárban tett közé hivatalos felhívást weboldalán, mely szerint előre bejelentett magas szintű biztonsági frissítés várható a szoftverükben március 1-én. A közzé tett frissítés több más hibajavítással együtt véglegesen eltávolítja az SSLv2 protokollt.

Az eltávolítás két kritikus hiba miatt történik:

Azon szerverek, ahol nem kapcsolták ki még az SSLv2 verziót, veszélyben vannak. A forgalom hatékonyan feltörhető, azaz minden levelező és web-szerver, ahol nincs kikapcsolva az SSLv2 érintett. Fontos, hogy a tanúsítvánnyal védett szerverek (levelező és web) mindegyikén ki legyen kapcsolva a protokoll, hogy a védettség fennálljon.

Azon szervereken, amelyeken 2015. március 19. előtti OpenSSL verzió található, az SSLv2 protokoll kikapcsolás sem feltétlenül segít, mert a régebbi verziók esetében ennek visszakapcsolását a támadó képes lehet kívülről megtenni. Azaz, ennél régebbi verziót sehol nem javasolt használni.