Heartbleed: il bug che sta gettando Internet nel caos

Introdotto nelle librerie OpenSSL nel dicembre del 2011, il bug, denominato “heartbleed”, è rimasto presente in quello che si stima essere circa il 17% della rete globale per oltre 3 anni, seppur in sordina.

Qualche giorno fa, tuttavia, Neel Mehta, ingegnere addetto alla sicurezza di Google, insieme a tre ingegneri di Codenomicon, si è accorto del pericoloso bug che, ad oggi, avrebbe interessato oltre mezzo milione di utenti in tutto il mondo ed ha lanciato l’allerta.

Il pericolo non è ancora cessato, ed al momento sistemi di sicurezza internazionali come CloudFlare e Cisco stanno conducendo dei test per appurare la reale entità del problema. Il micidiale bug, infatti, ha reso chiaro come il sole che OpenSSL, software adoperato per la criptazione dei dati, non è stato in grado di proteggere quegli stessi dati che dovrebbe mettere al sicuro. Avete presente quel lucchetto che compariva accanto all’URL del sito “delicato” che stavate visitando e che doveva significare che la vostra navigazione fosse sicura? Ecco, quel lucchetto in realtà era aperto da oltre 2 anni e mezzo.

La cosa che più stupisce è che una falla dai risvolti così gravi e quasi tragici (chiunque fosse a conoscenza del bug avrebbe potuto adoperarlo per fare uno 0-day attack di proporzioni faraoniche e virtualmente fare seri danni all’intera rete globale) sia rimasta nell’ombra per così tanto tempo. Non si ha idea di chi abbia potuto fare cosa in questi due lunghi anni ed oltre.

C’è chi ha persino immaginato che dietro  questa falla gravissima potesse esserci l’NSA, che ha subito rimandato al mittente le accuse.

Una patch è subito stata rilasciata dal team di sviluppo di OpenSSL, ma per farsi una piccola idea dello tsunami che ha colpito la rete, ecco di seguito i servizi o i siti più famosi colpiti dal bug: