Ποιος θυμάται το Heartbleed που απειλεί ακόμη τρεις τις τέσσερις επιχειρήσεις;
Έναν χρόνο μετά την ανακάλυψη του καταστροφικού ιού, το 74% των μεγάλων εταιρειών δεν έχουν εξαλείψει την απειλή.
Ήταν την περασμένη άνοιξη όταν ανακοινώθηκε πως ένας ιδιαίτερα επικίνδυνος ιός κυκλοφορούσε ελεύθερος στο Διαδίκτυο και πως, με τη δράση του, γινόταν απολύτως δυνατό στον καθένα να υποκλέψει κρυπτογραφημένες πληροφορίες από θεωρούμενους ασφαλείς servers και να πάρει «κλειδιά», usernames και passwords.
Η διαφορά του με τους συνήθεις ιούς και worms ήταν πως έκανε ευάλωτα τα κρυπτογραφημένα στοιχεία. Δεν αφορούσε, δηλαδή, το συνηθισμένο PC του κάθε χρήστη, αλλά τα πολύτιμα κρυφά data εταιρειών και οργανισμών.
Το ερώτημα που ανέκυψε τότε ήταν για πόσον καιρό δρούσε ο ιός και τι ακριβώς είχε υποκλαπεί. Κανείς δεν ξέρει με ακρίβεια, μπορεί να ήταν και χρόνια.
Σήμερα, ένα χρόνο μετά τη δημοσιοποίηση, μια νέα έρευνα της εταιρείας διαδικτυακής ασφάλειας Venafi διαπιστώνει πως η μεγάλη πλειονότητα των επιχειρήσεων δεν έχει λάβει όλα τα απαραίτητα μέτρα για την εξάλειψή του. Το 74% των μεγάλων εταιρειών που εξετάστηκαν εξακολουθούν να είναι «ανοιχτές» στην απειλή. Είναι 1.223 από τις μεγαλύτερες και πιο πολύτιμες εταιρείες.
Η Venafi αναφέρει πως η κατάσταση ισοδυναμεί με το να γνωρίζεις πως κάποιος έχει αντικλείδι για το σπίτι σου και εσύ να μην αλλάζεις κλειδαριές.
Τι σημαίνει να αλλάξεις «κλειδαριές»; Εγκατάσταση της τελευταίας έκδοσης του OpenSSL, έκδοση νέων κλειδιών κρυπτογράφησης και επανέκδοση των πιστοποιητικών ασφάλειας. Για να προστατευθεί κανείς πλήρως πρέπει να εφαρμόσει και τα τρία αυτά βήματα. Αλλά μόλις το 15% των servers στις υπό απειλή εταιρείες έχουν περάσει αυτή τη διαδικασία.
Η οδηγία που δίνουν οι εταιρείες ασφάλειας είναι «κάντε τα πάντα από την αρχή, σαν να εφαρμόζετε για πρώτη φορά κρυπτογράφηση».
Σύμφωνα με τη Venafi, ο λόγος που πολλές εταιρείες δεν προχωρούν στις αλλαγές αυτές είναι ότι η διαδικασία κοστίζει και πως αποφασίζουν να πάρουν το ρίσκο με data που δεν είναι και τόσο κρίσιμα για τη λειτουργία τους. Επιπλέον, οι λύσεις-ασπιρίνη είναι φθηνότερες και προσφέρουν ένα αυξημένο επίπεδο ασφάλειας. Αλλά δεν λύνουν το πρόβλημα ριζικά.
Τα λίγα συστήματα που δεν έκαναν καν το πρώτο βήμα εξακολουθούν να είναι εξαιρετικά ευάλωτα όχι μόνο απέναντι στον Heartbleed, αλλά και σε κάθε άλλη απειλή. Πράγμα που ισχύει και για όσους έχουν «patchάρει» τα συστήματά τους για τον Heartbleed, όχι όμως και για άλλες απειλές. Όχι και τόσο έξυπνη κίνηση.
