Η ΝSA μάζευε προσωπικά δεδομένα μέσω του ιού Heartbleed

17:47 14/4/2014 - Πηγή: Antinews

Η Εθνική Υπηρεσία Ασφάλειας των ΗΠΑ (NSA) γνώριζε για τουλάχιστον δύο χρόνια τη διαρροή στον τρόπο με τον οποίο πολλές ιστοσελίδες στέλνουν ευαίσθητες πληροφορίες, τον ιό δηλαδή που πλέον αποκαλούμε Heartbleed, και τον χρησιμοποίησε τακτικά για τη συλλογή κρίσιμων πληροφοριών, αναφέρει δημοσίευμα του Bloomberg που επικαλείται τη μαρτυρία δύο ανθρώπων που γνωρίζουν καλά το θέμα. Η απόφαση της NSA να κρατήσει

τον ιό μυστικό, χάριν των εθνικών συμφερόντων ασφαλείας, ξαναφέρνει στο προσκήνιο την συζήτηση για το ρόλο των κορυφαίων ειδικών της κυβέρνησης στους υπολογιστές.

Οι ειδικοί εκτιμούν ότι το 66% των ιστοσελίδων χρησιμοποιούν λογισμικό που περιέχει το ελάττωμα, συμπεριλαμβανομένων των μεγάλων υπηρεσιών όπως το Facebook, το Yahoo και το Gmail. Αυτό είναι ένα εξαιρετικά χρήσιμο εργαλείο για τις προσπάθειες συλλογής δεδομένων της NSA, αν και η χρήση του θέτει υπό αμφισβήτηση τις προθέσεις και την αποτελεσματικότητά της. Δεν πρέπει να προκαλεί έκπληξη το γεγονός ότι η NSA βρήκε την ευπάθεια τόσο γρήγορα μετά την εισαγωγή του. Δεδομένου ότι ήταν ένα μικρό λάθος που δεν χάλασε προφανώς τίποτα στην λειτουργία του SSL, κανείς στην κοινότητα του ανοικτού κώδικα δεν σκέφτηκε να το ψάξει.
Αυτό ακριβώς είναι το είδος του ιού που η NSA και ο μικρός στρατός εμπειρογνωμόνων της σε θέματα ασφάλειας θα προσπαθήσουν να βρουν: κάτι που χρησιμοποιείται ευρέως και γίνεται δύσκολα αντιληπτό. Το Bloomberg αναφέρει ότι οι πηγές που γνωρίζουν το θέμα υποστηρίζουν ότι το σφάλμα έγινε γρήγορα «ένα βασικό μέρος της εργαλειοθήκης του οργανισμού για την κλοπή κωδικών πρόσβασης σε λογαριασμούς και άλλες κοινές εργασίες».
Το γεγονός ότι η διόρθωση του Heartbleed σιγά-σιγά παίρνει το δρόμο της στους servers, δεν σημαίνει ότι η NSA αποκόβεται από τα δεδομένα των χρηστών. Πηγές του Bloomberg επιβεβαιώνουν ότι ο οργανισμός έχει μια βάση δεδομένων με χιλιάδες αδύναμα σημεία, πολλά από τα οποία πιθανόν ακόμα δεν έχουν πέσει στην αντίληψη ανεξάρτητων ερευνητών ασφάλειας των υπολογιστών.