De afgelopen twee jaar heeft een lek in beveiligingsprotocol OpenSSL er voor gezorgd dat alle met het encryptieprotocol werkende websites (OpenSSL 1.0.1 en 1.0.2) kwetsbaar waren voor cybercriminelen.
OpenSSL wordt vaak toegepast door websites die producten of diensten verkopen en websites die financiële transacties afhandelen. Nederlandse banken zeggen dat ze OpenSSL niet gebruiken en daarom geen last hebben van het lek. Het lek staat bekend onder de naam Heartbleed, meer informatie er over staat in een gelijknamig blog.
Volgens Reuters is de Heartbleed-kwetsbaarheid ontdekt door onderzoekers van Google en door de Finse security-aanbieder Codenomicon. Deze organisatie heeft daarop de website Heartbleed.com opgezet met informatie over oorzaak, gevolgen en waar er een patch te vinden is. Volgens Codenomicon bleek na een zelf opgezette aanval dat informatie bekeken kan worden op met OpenSSL-beveiligde sites zonder een spoor achter te laten.
Via het lek kan iedereen de versleuteling van dataverkeer omzeilen door het geheugen van servers uit te lezen. Het gaat onder meer om (privacy)gevoelige informatie, zoals wachtwoorden en betalingsgegevens, of versleutelde locatiegegevens. Er is een patch gemaakt (Fixed OpenSSL), maar die moet nog wel overal ingevoerd worden.
OpenSSL is het populairste open source versleutelingsprotocol en TLS (transport layer security)-toepassing om internetverkeer te versleutelen. Vooral op open source software gebaseerde server-systemen zoals Apache en nginx gebruiken OpenSSL. Beide systemen zouden een gezamenlijk marktaandeel van 66 procent hebben op het gebied van actieve websites. Ook mailservers worden met OpenSSL beveiligd.
Security-firma VeraCode stelt dat honderdduizenden web- en mailservers met OpenSSL wereldwijd zo snel mogelijk de patch moeten krijgen. Nu publiekelijk bekend is dat de kwetsbaarheid bestaat, verwacht de onderneming dat hackers er massaal gebruik van gaan maken. Internetconcerns zoals Google, Facebook, Yahoo en Amazon hebben al laten weten dat ze hun websiteservers geupdated hebben om de kwetsbaarheid weg te halen.
