Zojuist heeft het ontwikkelteam van OpenSSL versie 3.0.7. uitgebracht. Hierin worden verschillende kwetsbaarheden verholpen. Eerder kwalificeerde OpenSSL die als ernstig, maar die blijken bij nader inzien minder ernstig te zijn. Lees verder
Tag archieven: OpenSSL
Bedrijven laks met dichten Heartbleed-lek
Een jaar nadat het Heartbleed-lek, de naar verluidt ernstigste bedreiging voor de veiligheid op internet aan het licht was gekomen, hebben honderden bedrijven nog steeds niet alle maatregelen genomen die het gevaar keren, zo meldt de Volkskrant. Door dat lek zijn wachtwoorden te onderscheppen, computers of transacties over te nemen enz. De krant baseert zich op onderzoek van het Ameirkaanse beveiligingsbedrijf Venafi.
Nieuwe lek(jes) in OpenSSL ontdekt
Nadat enige tijd geleden bekend werd dat het open versleutelings-systeem OpenSSL al jaren lek was, blijken er maar liefst zes kwetsbare plekken in het systeem te zijn ontdekt door een Japanse onderzoeker. Dat is een paar dagen geleden bekend gemaakt door de OpenSSL Foundation. Het zou gaan om kwetsbaarheden waarbij iemand tussen computer en server kan dringen (het middenmanscenario). Het lek zou minder ernstig zijn dan Heartbleed en ook zou er nog geen code openbaar zijn gemaakt waarmee van dit lek gebruik gemaakt kan worden, wat overigens niet betekent dat er geen misbruik van deze nieuwe kwetsbaarheid is gemaakt. De fout zou al aanwezig geweest zijn vanaf de lancering van OpenSSL aan het eind van de jaren ’90. Lees verder
OpenSSL wordt opgekalefaterd
Na het na dik twee jaar ontdekken van het lek in OpenSSL (Heartbleed gedoopt), is een groep ontwikkelaars bezig de gaten te dichten. De open SSL-versie krijgt ook een andere naam: LibreSSL.
Lees verder
Android-gebruikers zouden last kunnen hebben van Heartbleed
Veiligheid en geheimhouding hebben wel wat met elkaar uit te staan. Als weinigen ergens van weten, dan is de kans dat dat ‘ergens’ bekend wordt minder groot dan als veel mensen van ‘ergens’ weten. Het lek in het veel op het web gebruikte beveiligingssysteem OpenSSL heeft tot een stroom aan berichten geleid die wijzen op de gevaren van het Heartbleed-lek.Google komt nu met een waarschuwing dat Android-telefoons gevaar lopen op afluisteren of inbreken. Het gaat dan om de zogeheten Jelly Bean-variant (Android 4.1.1). 4.1.2 schijnt geen problemen te geven. Het zou gaan om wereldwijd zo’n 50 miljoen toestellen. Lees verder
Is zaak Heartbleed veel heisa om weinig?
Er is een hoop heisa ontstaan na het bekend worden van het Heartbleed-lek in het webbeveiligings-systeem OpenSSL. Dat lek zou er al minstens twee jaar zitten. Een lezer van Switch, het blog van de Amerikaanse krant Washington Post, stelde dat al die herrie nergens om gaat. Niemand heeft over schade gejammerd, zegt de anonymus, die zijn wachtwoorden kenbaar maakte die hij gebruikte voor toegang tot diverse webstekken en voor zijn e-post. Lees verder
Heartbleed zou geen simpele coderingsfout (kunnen) zijn
Toen vorige week bekend werd dat het veel op internet gebruikte beveiligings-systeem OpenSSL al jaren lek was, bekende de Duitse programmeur Robin Seggelmann deemoedig dat dat zijn fout was en hij maakte zijn excuses aan de hele webgemeenschap. In the Guardian twijfelt John Naughton of dat wel kan kloppen. OpenSSL is open programmatuur, dat wil zeggen dat iedereen over de hele wereld de broncode daarvan kan veranderen. Fouten in open programmatuur worden meestal razendsnel ontdekt. Er zouden mensen weet van hebben gehad van Heartbleed en het lek hebben misbruikt of voor het verzamelen van persoonsgegevens om die later te kunnen misbruiken. Lees verder
NSA zou niks van Heartbleed hebben geweten
De Amerikaanse geheime dienst NSA ontkent van het lek in Heartbeat (onderdeel van het veel gebruikte beveiligingssysteem OpenSSL) te hebben geweten. Nieuwsstek Bloomberg meldde dat de NSA de laatste twee jaar het lek zou hebben gebruikt. Het Witte Huis en de heet bureau van de baas van de veiligheidsdiensten meldde in navolging van wat de NSA verklaarde, dat ze niet van het lek gehoord hadden tot deze maand toen het nieuws naar buiten werd gebracht door een werknemer van Google. “Als de federale overheid, met inbegrip van de veiligheidsdiensten, dit lek eerder dan vorige week hadden ontdekt, dan zouden we dat hebben doorgegeven aan de organisatie die verantwoordelijk is voor OpenSSL”, zei een woordvoerder van de Nationale Veiligheidsraad. De ontkenningen zouden behoorlijk krachtig zijn voor een organisatie die zich gewoontegetrouw hult in mist. Volgens de (anonieme) bronnen van Bloomberg News wist de NSA al minstens twee jaar dat het lek, Heartbleed gedoopt, de mogelijkheden biedt om gevoelige informatie te stelen. Privésfeerverdedigers zeiden dat als dat waar was, het ze niet zou verwonderen. Het klinkt ook bijzonder ongeloofwaardig dat een dienst die alles in het werk stelt om iedereen digitaal te bespioneren, dat kadootje niet zou hebben uitgepakt. Als ze er niks van zouden hebben geweten is deze dure dienst nog klungeliger dan Peter Sellers bekende alter ego Clouseau.
Bron: Washington Post
Webbeveiliging blijkt al twee jaar lek
Er schijnt weer een groot en vreselijk lek te zijn ontdekt te zijn op internet. Het beveiligingssysteem OpenSSL, herkenbaar aan het slotje naast de adresbalk, waar ook banken gebruik van maken, is bedoeld te voorkomen dat er cruciale, persoonsgebonden gegevens ‘weglekken’. Volgens de Amerikaanse webstek The Verge zou een op de drie beveiligde stekken kwetsbaar zijn voor inbraak. Ook zou de SSL-sleutel voor het (de)coderen van berichten daarmee op straat liggen. Via dit lek kunnen onverlaten en andere boeven zich toegang tot de gegevensopslag van de server verschaffen of zelfs eigen programmatuur op de server plaatsen. Het lek schijnt al zo’n twee jaar te bestaan, maar is nu pas ontdekt. Wie of wat er van dat lek misbruik gemaakt heeft, is onbekend. Lees verder