Heartbleed (OpenSSL): siti sicuri, siti vulnerabili e come proteggerti

Cos’è Heartbleed (in una riga)

Heartbleed è una falla nel codice di OpenSSL che permette a un attaccante di leggere la memoria del server remoto, potenzialmente esponendo chiavi private, password e dati sensibili.

Contesto rapido

• La vulnerabilità è stata presente per circa due anni prima della correzione.
• La patch è stata rilasciata due giorni fa.
• Anche dopo la patch, alcuni siti richiedono ulteriori azioni (restituzione/revoca dei certificati TLS, comunicazione agli utenti).

Importante: cambia le tue password solo dopo che il sito ha confermato di essere stato patchato e, se necessario, ha reemesso i certificati TLS. Cambiare la password prima può non garantire sicurezza se la chiave privata è stata compromessa.

Elenco dei siti valutati (stato al momento del report)

1. Google.com: Non vulnerabile.
2. Facebook.com: Non vulnerabile.
3. YouTube.com: Non vulnerabile.
4. Amazon.com: Non vulnerabile.
5. Yahoo.com: Era vulnerabile. Yahoo Mail è stato vulnerabile ma è stato patchato insieme ad altri servizi Yahoo (Search, Finance, Sports, Flickr, Tumblr).
6. Wikipedia.org: Non vulnerabile.
7. LinkedIn.com: Nessun SSL (il servizio non presenta terminazione SSL pubblica in questo contesto).
8. eBay.com: Nessun SSL.
9. Twitter.com: Non vulnerabile.
10. Craigslist.org: Non vulnerabile.
11. Bing.com: Nessun SSL.
12. Pinterest.com: Non vulnerabile.
13. Blogspot.com: Non vulnerabile.
14. Go.com: Non vulnerabile.
15. CNN.com: Nessun SSL.
16. Live.com: Nessun SSL.
17. PayPal.com: Non vulnerabile.
18. Instagram.com: Non vulnerabile.
19. Tumblr.com: Era vulnerabile; è stato successivamente patchato da Yahoo.
20. ESPN.go.com: Non vulnerabile.
21. WordPress.com: Non vulnerabile.
22. Imgur.com: Non vulnerabile.
23. HuffingtonPost.com: Nessun SSL.
24. reddit.com: Non vulnerabile.
25. MSN.com: Nessun SSL.

Nota: “Nessun SSL” qui indica che il sito, nella sua configurazione o per le parti pubbliche analizzate, non terminava connessioni SSL/TLS che sfruttassero OpenSSL nel contesto del test.

CDN e mitigazioni già applicate

I server e i siti che usano il provider CDN CloudFlare risultano patchati: CloudFlare ha aggiornato le sue istanze che terminano TLS con la versione corretta di OpenSSL.

Strumenti e test disponibili

• Esistono estensioni del browser (Chrome) e test online che identificano immediatamente se un sito è vulnerabile inserendo l’URL.
• Alcuni servizi offrono test diagnostici gratuiti: Filipo.io e Lastpass.com forniscono controlli pubblici per Heartbleed.
• Se sei amministratore, verifica la versione di OpenSSL sui tuoi server (vedi mini-metodologia più sotto) e applica la patch ufficiale del progetto OpenSSL.

Mini-metodologia per verificare un sito (per amministratori e tecnici)

1. Verifica la versione di OpenSSL installata: se è una versione nota vulnerabile, pianifica l’aggiornamento immediato.
2. Applica la patch ufficiale o installa la versione aggiornata di OpenSSL rilasciata dopo la scoperta.
3. Riavvia i servizi che usano la libreria (web server, proxy, bilanciatori, ecc.).
4. Re-issue/repone i certificati TLS se esiste il rischio che la chiave privata sia stata esposta.
5. Esegui test di scansione da servizi pubblici e da tool interni per confermare la mitigazione.

Esempi di comandi utili (uso avanzato, eseguire solo su sistemi propri):

• Controllo versione OpenSSL (sul server):

openssl version -a

• Eseguire scansioni con strumenti dedicati o script di prova pubblici (usare con cautela e solo su sistemi di cui si è proprietari o autorizzati).

Cosa fare se sei un utente finale

• Cambia le password dei servizi online sensibili (email, banca, shopping) soltanto dopo che il sito ha confermato di aver applicato la patch e, se necessario, di aver reemesso i certificati TLS.
• Abilita l’autenticazione a due fattori (2FA) dove disponibile.
• Controlla gli avvisi ufficiali dei servizi che usi (post sul blog, pagine di stato).
• Se ricevi notifiche di compromissione, segui le istruzioni del fornitore e valuta di monitorare gli estratti conto bancari per attività sospette.

Checklist rapida per ruoli (ruoli: utente, webmaster, amministratore di sistema)

• Utente:
  • Cambiare password dopo conferma patch.
  • Abilitare 2FA.
  • Non riutilizzare password.
• Webmaster / Responsabile sito:
  • Aggiornare OpenSSL alla versione corretta.
  • Riavviare i servizi che linkano a OpenSSL.
  • Valutare la revoca e la riemissione dei certificati TLS.
  • Pubblicare una comunicazione trasparente agli utenti.
• Amministratore di sistema:
  • Scansionare tutte le macchine che usano OpenSSL (server web, gateway, appliance).
  • Applicare patch, testare e monitorare i log per attività sospette.

Alternative e quando le misure possono fallire

• Se la chiave privata di un certificato TLS è stata esposta, limitarsi a installare la patch non basta: è obbligatorio revocare e riemettere il certificato.
• Se un servizio non comunica lo stato o non aggiorna prontamente, trattalo come non affidabile per transazioni sensibili.

Privacy e note GDPR (qualitative)

• Heartbleed può esporre dati personali: se gestisci dati di cittadini UE, valuta l’obbligo di notifica alle autorità competenti e agli interessati secondo il Regolamento generale sulla protezione dei dati (GDPR).
• Conserva prove delle azioni intraprese (log di patch, data/ora, comunicazioni agli utenti) per dimostrare diligenza.

Risorse citate nel report

• Tool diagnostici pubblici: Filipo.io, Lastpass.com.
• Elenco ampliato: il contributore “dberkholz” su GitHub ha pubblicato una lista di 512 siti, tratti dalle prime 10.000 posizioni di Alexa, che risultavano vulnerabili al momento della raccolta.

Breve nota video

Il report originale includeva anche un video esplicativo pubblicato da Yahoo che illustra Heartbleed e le precauzioni adottate.

Citazione esperta

Un esperto di sicurezza: “La priorità è aggiornare le librerie TLS e revocare le chiavi compromesse; la trasparenza verso gli utenti riduce l’impatto reputazionale.”

Glossario (una riga ciascuno)

• Heartbleed: bug di memoria in OpenSSL che consente la lettura di porzioni di memoria del server.
• OpenSSL: libreria open source che implementa SSL/TLS per la cifratura delle comunicazioni.
• TLS/SSL: protocolli per la cifratura delle comunicazioni su Internet.

Riepilogo finale

• Heartbleed è una vulnerabilità critica e diffusa; la patch esiste, ma molti operatori devono ancora completare tutte le azioni necessarie (aggiornamento, riavvio, reissue dei certificati).
• Controlla i servizi che usi con gli strumenti pubblici menzionati e segui la checklist per utenti e amministratori.

Note: la situazione può evolvere rapidamente: fidati solo delle comunicazioni ufficiali dei fornitori dei servizi che usi.