Проблемът е заложен още през май 2006 година, когато работещите по проект за сигурност са допуснали тежка грешка
Благодарение на критиката, която отнесе за операционна система Windows, софтуерният гигант Microsoft отбелязва значителен напредък в областта на сигурността на своите продукти. И макар Vista да е критикувана за различни неща, то трябва да се признае, че тя е много по-сигурна от Windows XP, писа dailytech.com в статия със заглавие "NEW! Huge Hole in Open Source Software Found, Leaves Millions Vulnerable".
Наскоро хакерска конференция разкри колко уязвими са системите, използващи Mac OS X, което се дължи на бавното темпо, с което се пускат пачове за тях. На събитието Mac машината е била похитена за само 10 минути, докато тези с Linux и Windows оцеляли през целия ден.
Сега обаче страшен пробив в сигурността е открит в основния код, използван в различни Linux програми. Проблемът е заложен още през май 2006 година, когато работещите по проект за сигурност с отворен код допуснали изключително тежка и неосъзната грешка.
Един елементарен пропуск е намалил ентропията в генерираните програмни ключове, създавани от библиотеката OpenSSL. Защо това е важно? Генерирането на ключове се използва от програмата за дистанционен достъп SSH, от IPsec VPN, Apache Web сървър, сигурни имейл клиенти и др.
Само две реда код са създали изключително сериозни дупки в сигурността на четири различни операционни системи с отворен код, 25 приложения и милиони свързани с Мрежата компютърни системи. Уязвимостта бе обявена публично на 13 май, след като е съществувала цели две години.
Вече е пуснат пач, но той не може да направи нищо, за да поправи щетите, настъпили в компрометираните системи. Още по-лошо, оказва се, че чрез инсталацията на компрометирани ключове на други системи е много вероятно някои от системите, които дори не използват кода, също да са компрометирани.
В една мрежа всеки може да види трафика, което е лоша новина за този, който споделя лична или секретна информация. Използвайки ключове обаче, данните могат да бъдат криптирани и след това декриптирани от другата страна в приятелския компютър чрез употребата на подходящи ключ. Имайки предвид, че “ldquo;ключът за сигурност” е обикновено 128 бита, което е равно на 2 на степен 128 комбинации, то възможността за разбиване на ключа само с “груба сила” е нереална.
Въпреки това, системата се разпада, ако компютърът може да произвежда само малки групи от ключове, независимо какъв е размерът на големия ключ. При нормален потребител ключът изглежда наред, има подходящ размер и данните биват криптирани и изпращани. Но при засегнатия потребител, хакерите могат да използват атаки с груба сила, за да познаят ключа и да отварят широка врата в сигурността. Точно това е резултатът от новооткритата грешка.
Грешката намалява броя на ключовете, които Linux може да генерира, от 2 на степен 128 на приблизително 2 на степен 15. Досега тя не е била открита, защото ключовете все още са били по 128 бита, а за човешкото око това изглеждало случайно. Ако системата постоянно е произвеждала един ключ, проблемът щял да бъде уловен, но вместо това, тя произвеждала разнообразие от ключове, но много по-малко по обем разнообразие. Броят на ключовете, които системата може да генерира, варира в зависимост от процесора, размера на ключа и вида му, но всички ключове, използващи грешния код, са сериозно намалени като брой от възможни вариации.
Поправянето на проблема с ключовете не е толкова просто. Тъй като ключовете са генерирани в актуалните файлове в компютъра, самото пачване на системата няма да промени тези файлове. Нужно е всеки ключ да бъде заменен, което представлява труден и дълъг процес. Допълнителните ключове трябва да бъдат сертифицирани и разпространени, което отнеме още повече време, а може да възникнат и грешки.
Debian, Linux вариантът, който се използва най-много от специалистите по сигурност, както и Ubuntu, най-използваната от потребителите дистрибуция на Linux, са сред засегнатите от проблема програми. Нещо повече, Windows сървърите може да са компрометирани, ако използват ключове, генерирани в Linux системи.
Ироничното в случая е, че грешката е възникнала от автоматичния инструмент Valgrind, който има за цел да намалява програмните грешки, водещи до уязвимости в сигурността.
Експертите от www.linux-bg.org коментираха в сайта си, че не става дума за "страшен пробив в сигурността”, открит в основния код, използван в различни Linux програми по света, а само за OpenSSL пакета за Debian дистрибуцията и нейните деривати, като Ubuntu например.
“Ако не използвате OpenSSL или програми, които използват възможностите на OpenSSL за генериране на SSH ключове, OpenVPN, DNSSEC ключове или ключове за използването им при създаване на X.509 сертификати, то няма за какво да се притеснявате. Ако обаче използвате и обновявате съвестно вашата Debian или Debian базирана дистрибуция, трябва да знаете, че този пропуск е отстранен”, консултира linux-bg.org.
Проблемът накратко се състои в това, че ключовете, които са създадени, са много лесни за отгатване – нещо, на което криптографията разчита да не е така, и ги прави на практика неизползваеми, посочват още българските Linux експерти.