Preguntes i respostes sobre el major forat de seguretat de la història d’Internet

Publicat el 13 d'abril de 2014

L’escletxa de seguretat trobada recentment al programa d’encriptació de codi obert OpenSSL, ha afectat a la informació que suposadament era enviada de forma segura, de 2 de cada 3 usuaris de Internet durant probablement més de 2 anys. En tot cas, des d’ ycom.cat volem donar resposta a les preguntes fonamentals que ens plantegem tots els que utilitzem la xarxa a diari, davant d’un problema d’aquestes dimensions.

Què s’ha vist afectat?

En general, ha estat exposada tota la informació que viatja xifrada amb aquest sistema: comerç electrònic, gestions e-administració, contrasenyes, targetes de crèdit, correu electrònic, missatgeria, cookies amb informació privada, xarxes socials i xarxes privades, entre d’altres.

Què podem fer els usuaris?

Algunes xarxes socials ja estan avisant als seus usuaris (personalment jo vaig rebre un correu de Pinterest) per canviar la clau d’accés. No està clar que totes les xarxes hagin sigut perjudicades, però per si de cas, és recomanable no esperar a rebre cap confirmació i fer-ho ja, sobretot amb les xarxes més importants, comptes de correu (especialment Google y Yahoo), etc.

Microsoft i els seus serveis no utilitzen OpenSSL, així que els seus usuaris poden estar més tranquils. Per les plataformes de comerç electrònic la situació és diversa, i és recomanable que els seus usuaris consultin els blocs i les seves comunicacions oficials per conèixer si s’han vist afectats.

Per què ara?

Hi ha especulacions varies. En principi, es tracta d’un error molt greu del sistema OpenSSL (que utilitzen molts servidors), que no s’ha fet públic per no provocar una allau d’atacs de hackers, però és segur que molts s’han adonat durant aquest temps i han fet de les seves. Hi ha gent que apunta a la teoria de la conspiració, com l’expert Chema Alonso al seu bloc, on assegura que Snowden va filtrar que la NASA podria haver impulsat aquests forats de seguretat, i que per exemple Apple podria haver detectat el Heartbleed, com va fer-ho altres cops amb altres ‘bugs’. El prolongat silenci de la companyia respecte aquest tema no ajuda a dissipar els rumors.

Hem elaborat aquesta llista amb les xarxes socials o plataformes més importants:

	Ha estat afectat?	Has de canviar la contrasenya?	Què han dit?
Facebook	No se sap	SÍ	“No sabem del cert si hem estat afectats, però recomanem canviar la contrasenya”
Twitter	NO	No se sap	“No hem detectat cap error, de moment no cal canviar contrasenya, però seguim estudiant la situació”
Instagram	SÍ	SÍ	“Els nostres sistemes han detectat un error, cal canviar contrasenyes”
Linkedin	NO	NO	“Els nostres sistemes no utilitzen OpenSSL, no ens hem de preocupar”
Pinterest	SI	SÍ	“Per la seguretat dels nostres usuaris, us recomanem canviar qualsevol accés a la xarxa social”
Tumblr	SÍ	SÍ	“Sabem del cert que els nostres sistemes han estat exposats”
Apple	NO	NO	“Els nostres sistemes no utilitzen el software que ha estat vulnerat”
Google	SÍ	SÍ	“Tot el nostre ecosistema ha estat vulnerat”
Microsoft	NO	NO	“No utilitzem SSL”
Yahoo	SÍ	SÍ	“Estem treballant per evitar més problemes, però cal canviar contrasenyes”
eBay	NO	NO	“eBay no ha estat vulnerat mai”
PayPal	NO	NO	“Els nostres sistemes no han estat mai exposats a tercers”
Dropbox	SÍ	SÍ	“Estem treballant per arreglar errors, però hem estat afectats”
Evernote	NO	NO	“Els nostres sistemes no integren els serveis vulnerats”
SoundCloud	SÍ	SÍ	“Hem detectat problemes, seguim treballant però és important canviar contrasenyes”