باگ خطرناک OpenSSL موسوم به خون ريزي قلبي چيست؟

کشف باگ خطرناک موسوم به خون ريزي قلبي هياهوي فراواني را در فضاي وب ايجاد کرده است. نکته جالب توجه در اين باره تاثيرپذيري 2 سرور از 3سرور موجود در فضاي اينترنت است که اهميت اين باگ را بالا برده است. گويا آژانس امنيت ملي آمريکا نيز از 2 سال پيش، از اين باگ مطلع بوده و آن را افشا نکرده است. اما اين باگ چيست و چه تاثيري بر روند استفاده کاربران عادي خواهد داشت؟آيا کاربران عادي بايد آنتي ويروس ها و نرم افزار هاي امنيتي خود را به روز کنند؟آيا هم اکنون کاربران مي توانند وارد حساب هاي بانکي خود شوند يا بايد از اين کار ممانعت کنند؟آيا شرکت هاي بزرگي چون گوگل که تحت تاثير اين باگ امنيتي قرار گرفته اند، اين مشکل رارفع کرده اند؟

در اين مطلب توضيحات روشني را درباره ساختار اين باگ، دامنه  تاثيرگذاري آن، نحوه  رفع مشکل و اجتناب از سرقت اطلاعات ارائه مي کنيم.

اين مشکل بخشي از يک نرم افزار با نام OpenSSL راتحت تاثير قرار مي دهد که به عنوان راهکاري براي مسائل امنيتي در وب سرورها استفاده مي شود.به گزارش zoomit، با استفاده از OpenSSL وب سايت ها مي توانند اطلاعات خود را به صورت رمزنگاري شده در اختيار کاربران قرار دهند، از اين رو ديگر افراد توانايي دسترسي و استفاده از داده هاي رد و بدل شده را که شامل نام هاي کاربري، رمز هاي عبور و کوکي هاست، ندارند.OpenSSL يک پروژه  متن باز است، يعني اين پروژه توسط مجموعه اي از افراد متخصص توسعه داده شده است که در قبال سرويس توسعه داده شده هزينه اي را دريافت نکرده اند. نسخه   1.0.1 پروژه  OpenSSL در 19 آوريل 2012 منتشر شده است. مشکل موجود ناشي از يک اشتباه برنامه نويسي در همين نسخه است که به يک فرد يا نرم افزار مخرب بدون ثبت اثري از آن اجازه  کپي برداري از اطلاعات موجود در حافظه  وب سرور را مي دهد. اين مشکل پس از اضافه شدن يک ويژگي جديد ايجاد شده که توسط يک برنامه نويس آلماني روي OpenSSL  اضافه شده است.خون ريزي قلبي يکي از ويژگي هاي داخلي OpenSSL را با نام Heartbeat يا ضربان قلب مورد استفاده قرار مي دهد. زماني که رايانه  کاربر به يک وب سايت دسترسي پيدا مي کند، وب سايت پاسخي را به مرورگر کاربر ارسال مي کند تا رايانه  کاربر را از فعاليت خود و همچنين قابليت پاسخ گويي به درخواست هاي بعدي آگاه سازد، اين رد و بدل شدن اطلاعات را ضربان قلب مي گويند. ارسال درخواست و پاسخ به آن با رد و بدل شدن داده ها همراه است. در حالت نرمال، زماني که رايانه  کاربر درخواستي را از سرور به عمل مي آورد، ضربان قلب ميزان داده  مجاز درخواست شده از طرف کاربر را ارسال مي کند، اما درباره سرورهايي که اين باگ را در ساختار خود دارند، يک هکر قادر است درخواستي را مبني بر گرفتن داده ها از حافظه  سرور ارسال و داده اي را با حداکثر اندازه  65,536 بايت دريافت کند.براساس اطلاعات ارائه شده توسط CloudFlare، اطلاعات درخواست شده شايد دربردارنده  اطلاعاتي از ديگر بخش هاي OpenSSL  نيز باشد. اطلاعات موجود در حافظه کاملا از پلتفورم مستقل هستند. با اتصال رايانه هاي بيشتر به سرور اطلاعات موجود در حافظه  از بين مي رود و اطلاعات جديد جايگزين مي شود، از اين رو صدور درخواست هاي جديد توسط هکرها به دريافت اطلاعات جديدتري منجر خواهد شد که شامل اطلاعات ورود، کوکي ها و داده هايي مي شود که هکرها مي توانند از آن ها بهره برداري کنند.