Category Archives: Website Security

Semana passada, uma vulnerabilidade conhecida como “Heartbleed” foi encontrada na popular biblioteca de software criptográfico OpenSSL (http://heartbleed.com). O OpenSSL é amplamente usado, muitas vezes com aplicativos e servidores Web como Apache e Nginx. As versões do OpenSSL de 1.0.1 até 1.0.1f contêm essa vulnerabilidade, que pode ser explorada por invasores para ler a memória dos sistemas. O acesso à memória pode levar os invasores a obterem chaves secretas, permitindo que eles decifrem e interceptem comunicações criptografadas por SSL e se façam passar por provedores de serviços. Os dados na memória também podem conter informações confidenciais, inclusive nomes de usuário e senhas.

O Heartbleed não é uma vulnerabilidade do SSL/TLS, e sim um bug de software na implementação da extensão heartbeat do OpenSSL. O SSL/TLS não foi enfraquecido; ele ainda é o padrão ouro para criptografia de dados em trânsito na Internet. Porém, devido à popularidade do OpenSSL, aproximadamente 66% dos servidores da Internet ou dois terços dos servidores Web (segundo o relatório da Netcraft sobre servidores Web) podem estar utilizando esse software. Recomenda-se às empresas que usam o OpenSSL que o atualizem para a última versão corrigida do software (1.0.1g) ou recompilem o OpenSSL sem a extensão heartbeat o mais rápido possível.

Sendo a principal autoridade de certificação do mundo, a Symantec já tomou medidas para reforçar seus sistemas. Nossas raízes não correm risco; no entanto, estamos seguindo as melhores práticas e recriamos as chaves de todos os certificados nos servidores Web que contêm as versões afetadas do OpenSSL.

Depois que as empresas atualizarem ou recompilarem seus sistemas, a Symantec recomenda que os clientes substituam todos os seus certificados em servidores Web, seja qual for o emissor, para reduzir os riscos de violações à segurança. A Symantec oferecerá certificados substitutos gratuitos para todos os clientes.

Por fim, a Symantec solicita aos clientes que redefinam as senhas de seus consoles de gerenciamento SSL e com assinatura de código. Mais uma vez, trata-se da melhor prática; encorajamos as empresas a solicitarem que seus clientes finais façam o mesmo depois que os sistemas tiverem aplicado a correção. Continuaremos a trabalhar com nossos clientes a fim de minimizar o impacto dos riscos de segurança provenientes dessa vulnerabilidade.

Para sua conveniência, eis um resumo das etapas a serem seguidas:

Para empresas:

• Todos aqueles que usam o OpenSSL 1.0.1 até 1.0.1f devem atualizá-lo para a última versão corrigida do software (1.0.1g) ou recompilar o OpenSSL sem a extensão heartbeat.
• As empresas também devem substituir o certificado nos respectivos servidores Web após migrarem para uma versão corrigida do OpenSSL.
• Por fim, como melhor prática, também é recomendável que as empresas redefinam as senhas dos usuários finais que possam ter ficado visíveis na memória de um servidor comprometido.

Para os consumidores:

• Esteja ciente da possibilidade de seus dados terem sido vistos por um terceiro se você tiver usado um provedor de serviços vulnerável.
• Monitore as notificações enviadas pelos fornecedores que você usa. Se um fornecedor vulnerável comunicar aos clientes que devem alterar suas senhas, os usuários devem seguir essa instrução.
• Evite possíveis e-mails de phishing enviados por invasores solicitando a atualização de sua senha; para evitar acessar um site fraudulento, atenha-se ao domínio oficial do site.

La semaine dernière, une faille baptisée « Heartbleed » a été détectée dans la bibliothèque de chiffrement OpenSSL (http://heartbleed.com). Cette bibliothèque est particulièrement utilisée sur des applications et serveurs Web comme Apache et Nginx. Concrètement, les versions 1.0.1 à 1.0.1f d’OpenSSL présentent une faille que des attaquants peuvent exploiter pour lire la mémoire des systèmes hôtes. Ainsi, ils pourront accéder aux clés secrètes qui leur permettront de décrypter et d’intercepter les communications sécurisées via SSL, voire même de se faire passer pour des fournisseurs de services. Mais le danger ne s’arrête pas là puisque les données en mémoire pourront également contenir des informations sensibles, telles que des noms d’utilisateur et des mots de passe.

Heartbleed ne constitue en rien une vulnérabilité des protocoles SSL/TLS. Il s’agit en fait d’un bug logiciel dans l’implémentation de l’extension OpenSSL « heartbeat ». Bref, la technologie SSL/TLS n’est aucunement remise en question. Elle est et demeure la référence absolue en matière de cryptage des transferts de données sur Internet. Le problème provient de l’omniprésence d’OpenSSL. D’après un rapport Netcraft, deux tiers des serveurs Web sur Internet seraient équipés de ce logiciel. Toutes ces entreprises devront donc passer à la dernière version corrigée de la bibliothèque (1.0.1g) ou recompiler OpenSSL sans l’extension heartbeat dès que possible.

De son côté, en tant que leader mondial des autorités de certification, Symantec a déjà pris un certain nombre de mesures pour renforcer ses systèmes. Bien que nos certificats racines ne soient pas exposés, nous avons décidé d’appliquer les bonnes pratiques de rigueur, à savoir la redéfinition des clés de tous les certificats sur les serveurs Web équipés des versions vulnérables d’OpenSSL.

Une fois leurs systèmes mis à jour ou recompilés, Symantec recommande aux entreprises de remplacer tous leurs certificats – quel qu’en soit l’émetteur – sur leurs serveurs Web afin de limiter les risques de violations de sécurité. Pour les y encourager, nous offrirons à tous nos clients la possibilité de remplacer gratuitement leurs certificats.

Enfin, par simple mesure de précaution, Symantec demande à ses clients de réinitialiser les mots de passe de leur console de gestion de certificats SSL et Code Signing. Nous encourageons également les entreprises à inciter leurs clients à en faire de même une fois leurs systèmes corrigés. De notre côté, nous poursuivrons notre coopération avec nos propres clients pour minimiser l’impact de cette vulnérabilité sur leur sécurité.

Pour vous faciliter la tâche, nous dressons ici un point rapide sur les mesures à prendre :

Entreprises :

• Si vous utilisez les versions OpenSSL 1.0.1 à 1.0.1f, installez la dernière version corrigée du logiciel (1.0.1g) ou recompilez votre version existante sans l’extension heartbeat.
• Une fois la version corrigée d’OpenSSL installée, remplacez également le certificat du serveur Web concerné.
• Enfin, par mesure de précaution, réinitialisez vos mots de passe utilisateur. En effet, ces derniers auront pu être décryptés dans la mémoire des serveurs compromis.

Particuliers :

• Si votre fournisseur de services a été touché par Heartbleed, il est possible que vos données aient été interceptées par un cybercriminel.
• Restez attentifs aux avis des éditeurs et fournisseurs dont vous êtes client. Si ces derniers vous demandent de modifier votre mot de passe, faites-le sans tarder.
• Méfiez-vous des éventuels e-mails de phishing vous demandant de modifier votre mot de passe. Pour éviter de vous retrouver sur un site Web frauduleux, limitez-vous au domaine du site officiel.

La semana pasada, se descubrió que la vulnerabilidad «Heartbleed» (http://heartbleed.com) había afectado a la conocida biblioteca de software criptográfico OpenSSL, que se utiliza con aplicaciones y servidores web como Apache y Nginx, además de para otros muchos usos. En determinadas versiones de OpenSSL (de la 1.0.1 a la 1.0.1f, ambas incluidas), existe el riesgo de que los ciberdelincuentes accedan a la memoria de los sistemas, obtengan las claves secretas necesarias para descifrar y espiar las comunicaciones protegidas mediante la tecnología SSL, y suplanten a los proveedores de servicios. Además, es posible que los datos de la memoria contengan información confidencial, como nombres de usuario y contraseñas.

Heartbleed no es una vulnerabilidad de la tecnología SSL/TLS, sino un error de programación en la implementación de la extensión heartbeat de OpenSSL. Esto no quiere decir que SSL/TLS haya dejado de funcionar; al contrario, sigue siendo la tecnología líder para cifrar los datos que se transmiten por Internet. Sin embargo, debido a la popularidad de OpenSSL, es posible que actualmente use el software afectado en torno al 66 % de Internet, el equivalente a dos tercios de los servidores web (según el informe sobre servidores web de Netcraft). Las empresas que usan OpenSSL deberían pasarse a la versión 1.0.1g, en la que el problema ya está solucionado, o recompilar OpenSSL sin la extensión heartbeat lo antes posible.

Symantec ya ha tomado medidas para reforzar la seguridad de sus sistemas, como corresponde a la principal autoridad de certificación del mundo. Nuestras raíces están a salvo, pero aun así estamos siguiendo los protocolos recomendados y hemos modificado las claves de todos los certificados de los servidores web que utilizaban las versiones de OpenSSL afectadas.

Symantec recomienda a las empresas que, tras actualizar o recompilar sus sistemas, sustituyan todos los certificados de los servidores web (independientemente de quién los haya emitido) para evitar posibles incidencias de seguridad. Tenemos previsto facilitar a todos nuestros clientes nuevos certificados gratuitos.

Por último, instamos a los clientes a que, por precaución, cambien las contraseñas de las consolas de gestión de certificados SSL y de firma de código (Code Signing). Una vez restablecida la seguridad de los sistemas, es recomendable que las empresas también pidan a sus clientes que cambien las contraseñas.

Seguiremos colaborando con nuestros clientes para reducir al mínimo las consecuencias de esta vulnerabilidad, pero a continuación resumimos los pasos básicos para protegerse.

En el caso de las empresas, recomendamos:

• actualizar las versiones de OpenSSL afectadas (de la 1.01 a la 1.0.1f, ambas incluidas) a la versión 1.0.1g, o bien recompilar OpenSSL sin la extensión heartbeat;
• sustituir el certificado del servidor web tras adoptar una versión segura de OpenSSL;
• restablecer por precaución todas las contraseñas de los usuarios, ya que alguien podría haberlas obtenido al infiltrarse en la memoria del servidor.

Por su parte, los consumidores deberían:

• saber que, si los proveedores de los servicios que utilizan se han visto afectados por Heartbleed, es posible que la confidencialidad de sus datos no esté garantizada;
• estar pendientes de los avisos que reciban y cambiar las contraseñas si el proveedor de un servicio afectado se lo solicita;
• fijarse bien en quién envía los mensajes de correo electrónico en los que se solicita un cambio de contraseña y asegurarse de que los enlaces conducen al sitio web oficial, ya que podría tratarse de intentos de phishing.

This week a vulnerability dubbed “Heartbleed” was found in the popular OpenSSL cryptographic software library (http://heartbleed.com).  OpenSSL is widely used, often with applications and web servers like Apache and Nginx.   OpenSSL versions 1.0.1 through 1.0.1f contain this vulnerability, which attackers can exploit to read the memory of the systems.  Gaining access to the memory could provide attackers with secret keys, allowing them to decrypt and eavesdrop on SSL encrypted communications and impersonate service providers. Data in memory may also contain sensitive information including usernames and passwords.

Heartbleed is not a vulnerability with SSL/TLS, but rather a software bug in the OpenSSL heartbeat implementation. SSL/TLS is not broken; it is still the gold standard for encrypting data in transit on the Internet. However, due to the popularity of OpenSSL, approximately 66% of the Internet or two-thirds of web servers (according to Netcraft Web server report ) could be using this software. Companies using OpenSSL should update to the latest fixed version of the software (1.0.1g) or recompile OpenSSL without the heartbeat extension as soon as possible.

As the world’s leading Certification Authority, Symantec has already taken steps to strengthen our systems. Our roots are not at risk; however, we are following best practices and have re-keyed all certificates on web servers that have the affected versions of OpenSSL.

After companies have updated or recompiled their systems, Symantec is recommending that customers replace all their certificates -regardless of issuer- on their web servers to mitigate the risks of security breach. Symantec will be offering free replacement certificates for all our customers.   

Finally, Symantec is asking customers to reset passwords to their SSL and code-signing management consoles.  Again, this is a best practice and we encourage companies to ask their end customers to do the same after their systems have applied the fix.  We will continue to work with our customers to minimize the impact of security risks from this vulnerability.

For your convenience, here is a summary of steps to take:

For businesses:

• Anyone using OpenSSL 1.0.1 through 1.0.1f should update to the latest fixed version of the software (1.0.1g), or recompile OpenSSL without the heartbeat extension.  
• Businesses should also replace the certificate on their web server after moving to a fixed version of OpenSSL.
• Finally, and as a best practice, businesses should also consider resetting end-user passwords that may have been visible in a compromised server memory.

For consumers:

• Should be aware their data could have been seen by a third party if they used a vulnerable service provider.
• Monitor any notices from the vendors you use. Once a vulnerable vendor has communicated to customers that they should change their passwords, users should do so.
• Avoid potential phishing emails from attackers asking you to update your password – to avoid going to an impersonated website, stick with the official site domain.