Oululainen tietoturvayritys Codenomicon löysi nettisivujen salausjärjestelmistä haavoittuvuuden, josta Viestintäviraston kyberturvallisuuskeskus varoitti tiistaina.
Verkkopalvelujen tavallisilta käyttäjiltä ei edellytetä tässä vaiheessa toimenpiteitä ilman palveluiden ylläpitäjien kehoitusta.
Salausta käyttävien palveluiden ylläpitäjiltä sen sijaan tarvitaan Viestintäviraston mukaan pikaisia korjaustoimia. Vain osa SSL-salausta käyttävistä verkkopalveluista on haavoittuvia. Viestintäviraston kyberturvallisuuskeskus selvittää haavoittuvien palveluiden määrää Suomessa.
OpenSSL-kirjaston haavoittuvuus tekee mahdolliseksi sen, että joku kopioi luvatta haavoittuvien palvelimien muistin sisällön. Haavoittuvuuden avulla voidaan luvatta kopioida www-palvelimelta käyttäjien käyttäjätunnus- ja salasanapareja, evästeitä, istuntokohtaisia avaimia ja palvelun käyttämiä salaisia avaimia.
Suurin piirtein samaan aikaan Codenomiconin kanssa haavoittuvuuden löysi Google, kertoo Codenomiconin tutkimusjohtaja Ari Takanen.
Käytännössä ongelma koskee suojattuja nettisivuja, joissa osoiterivi alkaa https:-alkuisesti.
”Jos haluaa vaihtaa salasanansa, se kannattaa vaihtaa mielestäni sen jälkeen, kun oma palveluntarjoaja on korjannut oman järjestelmänsä. Jos salasanan vaihtaa liian äkkiä, sen saa vaihtaa äkkiä taas uudelleen”, sanoo Takanen.
Haavoittuneet palvelimet syytä päivittää välittömästi
OpenSSL-kirjaston haavoittuvuuden hyväksikäyttöön tähtäävä skannaus on käynnistynyt julkaistujen haavoittuvuustiedotteiden julkaisun jälkeen tänään 8.4. Haavoittuvien OpenSSL-kirjastoa käyttävien palvelinten päivitys suositellaan toteutettavan välittömästi. Haavoittuvien palvelinten palvelinvarmenteet on vaihdettava palvelinpäivityksen jälkeen. Palvelinten käyttäjien salasanojen vaihto on suositeltavaa.
Jos palvelimen salaiset avaimet ovat joutuneet vääriin käsiin ja palvelussa ei ole käytetty Perfect Forward Secrecy (PFS) -salaustoiminnallisuutta, palvelimen aikaisemman verkkoliikenteen purkaminen on mahdollista.
Haavoittuvalla OpenSSL-kirjastolla varustetut palvelimet on syytä päivittää välittömästi. Merkkejä haavoittuvuuden hyväksikäyttöä valmistelevasta verkkoskannaustoiminnasta on havaittu 8.4. aamulla.
Vain osa SSL-salausta käyttävistä verkkopalveluista on haavoittuvia. Viestintäviraston Kyberturvallisuuskeskus selvittää haavoittuvien palveluiden määrää Suomessa.