АНБ два года использовало уязвимость Heartbleed для перехвата данных

Агентство национальной безопасности США в течение двух лет использовало уязвимость криптографического пакета OpenSSL, обнаруженную на минувшей неделе, пишет издание The Verge со ссылкой на данные Bloomberg.

Подобную возможность не исключали некоторые эксперты, а теперь ее подтвердили сразу два анонимных источника, близких к спецслужбам США. Обнаружив уязвимость около двух лет назад, сотрудники АНБ предпочли не предавать эту информацию огласке, решив использовать ее в собственных целях. Таким образом, спецслужба фактически могла иметь доступ к 65% всех серверов, получая данные учетных записей пользователей.

Позднее представители властей США выступили с опровержением этой информации. "Заявления о том, что АНБ или другие службы знали об уязвимости до 2014 года, не соответствуют действительности", - говорится в сообщении, поступившем из управления директора Национальной разведки.

В пятницу немецкий программист Робин Зеггельман, который и добавил в пакет OpenSSL критическую уязвимость Heartbleed, дал интервью, в котором заявил, что сделал это непреднамеренно. Он подчеркнул, что ошибка оказалась в коде случайно. Ее не заметил также и специалист, проверявший работу Зеггельмана, в результате чего она не была удалена из финальной версии очередного релиза OpenSSL.

О наличии серьезной уязвимости в пакете OpenSSL, предназначенном для защиты и сертификации данных, стало известно в понедельник вечером, когда разработчики сообщили об устранении ошибки, существовавшей с марта 2012 года.

Обнаруженная ошибка была связана с отсутствием необходимой проверки длины запроса в одной из процедур расширения Heartbeat. Из-за этого любой злоумышленник мог получить прямой доступ к оперативной памяти компьютеров, чьи коммуникации были защищены уязвимой версией OpenSSL.

Большинство экспертов назвало Heartbleed одной из самых серьезных угроз безопасности за всю историю интернета. Чтобы обезопасить себя на будущее, пользователям различных интернет-сервисов рекомендуется изменить пароли, предварительно убедившись, что администраторы этих сервисов установили исправленную версию OpenSSL и перевыпустили сертификаты безопасности.