Організації, які надають послуги через інтернет, закликали користувачів поміняти паролі доступу, після того як в системі програмного захисту OpenSSL була виявлена уразливість.
Сервіс блогів Tumblr, що належить компанії Yahoo, рекомендував інтернет-користувачам "поміняти всі паролі, особливо ті, які забезпечують доступ до банківських послуг, електронній пошті і віртуальним сховищ файлів".
Раніше з'явилася інформація про те, що програмний продукт OpenSSL, що забезпечує безпеку передачі даних, міг бути використаний для перехоплення особистої інформації.
Криптографічний пакет OpenSSL повсюдно використовується для шифрування даних при передачі інформації з комп'ютера користувача на сервер провайдера послуг. Розшифрувати цю інформацію без спеціального ключа практично неможливо.
У понеділок Google Security і фінська компанія Codenomicon повідомили, що уразливість в OpenSSL існує вже більше двох років. Виявлений дефект міг дозволити знаходити секретні ключі, в яких міститься інформація про компанії, що користуються цим криптографічним пакетом.
серйозна ситуація
Повідомляється, що якщо зловмисник робив копії цих ключів, він міг отримати доступ до імен користувачів і їх паролів. Також за допомогою отриманих персональних даних можна створювати фальшиві сайти, з вигляду не відрізняються від справжніх, щоб ввести в оману нічого не підозрює користувача.
Уразливість, яка дозволяла перехоплювати дані між користувачем і сервером провайдера, назвали Heartbleed Bug.
Поки неясно, чи встиг хтось скористатися цією вразливістю, тому що такі дії залишилися б непоміченими.
Як стало відомо Бі-бі-сі, компанія Google спочатку повідомила про дефект кільком організаціям і лише потім зрадила цю інформацію гласності.
Судячи з усього, компанію Yahoo про проблему заздалегідь не повідомили, і, як повідомив сайт Cnet, до того як була усунена уразливість, кому-то вдалося отримати логіни та паролі користувачів сервісу.
"Нашій команді вдалося усунути проблему в основних сервісах Yahoo - головній сторінці Yahoo, пошуку Yahoo Search, поштовій службі Yahoo Mail, а також Yahoo Finance, Yahoo Sports, Yahoo Food, Yahoo Tech, Flickr і Tumblr. Зараз ми виправляємо цей дефект і на інших сайтах компанії ", - повідомив прес-секретар Yahoo.
Компанія NCC Group, що спеціалізується на забезпеченні інтернет-безпеки великих компаній, назвала ситуацію серйозною.
"Щоб скористатися вразливістю, зараз потрібно набагато менше знань і навичок, ніж 36 годин тому. Будь-яка людина з середнім рівнем знань в області написання комп'ютерних програм може потенційно зламати дефектну систему і отримати в своє розпорядження персональні дані", - сказав в інтерв'ю Бі-бі сі заступник директора компанії Оллі Уайтхаус.
"Після того як провайдери інтернет-послуг оновлять своє програмне забезпечення, користувачам рекомендується змінити паролі", - додав він.
В інтернеті з'явився сайт, на якому можна перевірити, які компанії вже оновили свої програмні продукти. Але дізнатися, чи існувала вразливість раніше, не так просто.
Сайти компаній, що використовують програму Internet Information Services компанії Microsoft, що не були схильні загрозу перехоплення даних. Але, за даними компанії Codenmonicon, більше 66% інтернет-сайтів використовують системи Apache і Nginx, в яких застосовується OpenSSL.
Але і в цьому випадку деякі сайти використовували послугу, яка називається "досконалою прямий секретністю", що обмежує кількість з'єднань, які можуть бути перехоплені.
Стівен Мердок з комп'ютерної лабораторії університету Кембриджу сказав, що немає необхідності негайно кидати всі справи і міняти паролі, але привід для занепокоєння все ж є.
"Мені здається, ймовірність перехоплення пароля варіюється від низької до середньої. Нинішній випадок відрізняється від тих, коли в інтернеті публікувалися списки паролів. Зараз все не так терміново", - сказав він.
"Але поміняти пароль легко. Тому нічого поганого в цьому немає. Але поспішати потрібно лише в разі, якщо ви отримали спеціальне повідомлення від сайту, на якому ви зареєстровані", - додав він.