Хакеры могут получать доступ к электронной почте, взламывать системы защиты и получать доступ к данным на мобильных телефонах благодаря уязвимости в широко распространенном криптографическом пакете Open SSL, который применяется для шифрования данным при передаче информации. Уязвимость получила название Heartbleed.

OpenSSL используется такими компаниями, как Amazon.com, Googlе и Yahoo. Информация об уязвимости появилась в понедельник, 8 апреля. При этом Google Security отметила, что уязвимость существует уже около двух лет, однако ее заметили только сейчас.

Heartbleed позволяет хакерам перехватывать данные при передаче между пользователем и сервером провайдера. По данным финской компании Codenmonicon, которые приводит Би-би-си, Open SSL применяется примерно на 66% сайтов.
...
Twitter сообщил, что уязвимость Hearbleed не повлияет на безопасность данных пользователей сервиса. Google объявила, что на браузер Google Chrome и операционную систему Google OS уязвимость не повлияла, а на Gmail пароль лучше сменить (его, как и YoyTube, коснулась уязвимость).

Платежный сервис PayPal уведомил пользователей, что на логин и пароль при входе в систему PayPal нельзя перехватить с помощью уязвимости Open SSL.

Эксперты в области компьютерной безопасности отмечают, что уязвимости подвержена такие широко распространенная программа, как анонимизирующий онлайн-браузер Tor, многие онлайн-игры и программное обеспечение устройств с интернет-соединением.

Читать полностью: http://top.rbc.ru/society/11/04/2014/917229.shtml

чё-то я офигел, и раньше было понятно, что безопасность в интернетах держится на волоске, но чтоб на таком тонком волоске...

мы все умрееееем!!!

(2) однозначно

andrewks позволяет хакерам перехватывать данные при передаче между пользователем и сервером провайдера

мужик посередине что ли?

(4) про сниффинг слышал?

Появляется все больше хороших и плохих известий, связанных с уязвимостью “Heartbleed”.

Хорошие новости заключаются в том, что уже около трети серверов обновились и перестали быть уязвимыми. Плохая новость — по меньшей мере 600 тысяч машин остаются незащищёнными, вдобавок необходимо учесть количество встраиваемых систем, к которым уже перестали выходить обновления прошивок. Более того, зафиксированы свидетельства того, что уязвимость эксплуатировалась злоумышленниками еще в 2013 году. Компания MediaMonks обнаружила это после исследования журналов аудита за ноябрь прошлого года.

статья про то, как это работает: http://www.banki.ru/news/daytheme/?id=6443641

одно непонятно - как нужно было укуриться, чтобы такую дырищу напейсать и как можно было годами не заметить

(5) так со свичами вроде неактуально

Че-то "рыбалки", как я понимаю. Не?

(10) Сниффинг-то? Да чужие пакеты слушать просто. Было актуально во времена хабов, в один порт приходит ему пакет, во все остальные уходит, кому нужен принимают, остальные игнорируют. Свичи же адресно работают. Кто заказывал, тому и уйдет, остальные не получат его.

(9) http://www.opennet.ru/base/sec/arp_snif.txt.html

(9) не в этом дело...

Стали появляться свидетельства возможного применения Heartbeat-уязвимости в OpenSSL (CVE-2014-0160) для совершения вредоносных действий за несколько месяцев до выявления проблемы сотрудниками компаний Google и Codenomicon. Следы одной из таких атак зафиксированы компанией MediaMonks в журналах аудита, датированных ноябрём прошлого года. Сохранённые в журналах пакеты с нескольких серверов, подозреваемых во вредоносной активности, совпали по своему характеру с пакетами, применяемыми при эксплуатации Heartbeat-уязвимости.
...
Шнайер считает близкой к единице вероятность того, что различные спецслужбы уже успели воспользоваться уязвимостью для массового извлечения приватных ключей. Другой вопрос, случайно или нет подобная уязвимость появилась в OpenSSL. Даже если проблема была внесена случайно, за два года присутствия в кодовой базе заинтересованные лица вполне могли её обнаружить и молча использовать.
http://www.opennet.ru/openforum/vsluhforumID3/95331.html

вот не знаю, почему, но у меня изначально тоже возникла версия, что тут каким-то образом замешаны спецслужбы, ну не мог просто так такой огроменный косяк прийти и оставаться незамеченным два года.
видимо, код был составлен так, что выявить косяк при исследовании было весьма проблематично. нет, конечно, можно верить, что одна из тысячи шимпанзе в итоге сыграет Бетховена на рояле, но я в такие сказки слабо верю