Wikimedia Blog/Drafts/Heartbleed
This post has been published at https://blog.wikimedia.org/2014/04/10/wikimedias-response-to-the-heartbleed-security-vulnerability/. You are welcome to add translations here.
Resposta da Wikimedia à vulnerabilidade de segurança "Heartbleed"
Em 7 de abril, foi revelado um problema generalizado em um componente central da segurança na internet (OpenSSL). A vulnerabilidade já foi corrigida em todas as wikis da Wikimedia. Se você apenas lê a Wikipédia sem criar uma conta de usuário, não é necessário que você faça nada. Se você possui uma conta em qualquer uma das wikis, você deve logar-se novamente da próxima vez que acessá-la.
Esse problema, chamado de Heartbleed, permitiria que pessoas mal intencionadas ganhassem acesso à informações privilegiadas em qualquer site que possuísse uma versão vulnerável do programa. Wikis da Fundação Wikimedia estiveram potencialmente afetadas por essa vulnerabilidade por várias horas após a divulgação da falha. Entretanto, não tivemos evidências de nenhum comprometimento em nossos sistemas ou nas informações de nossos usuários, e devido à forma particular como nossos bancos de dados são configurados, seria bem difícil para um hacker explorar a vulnerabilidade com o intuito de adquirir as senhas de usuários das wikis.
Após ficarmos cientes da vulnerabilidade, começamos a atualizar nossos sistemas com versões corrigidas do software em questão. Em seguida, começamos a substituir os certificados SSL críticos e resetamos todos os tokens de sessão dos usuários. Veja o cronograma completo da nossa resposta abaixo.
Todos os usuários logados enviam um token secreto a cada pedido ao site. Se uma pessoa mal-intencionada fosse capaz de intercetar este token, poderia fazer-se passar por esse usuário. Ao resetar todos os tokens, forçamos os usuários a se logarem aos nossos servidores utilizando a versão atualizada e corrigida do software OpenSSL, eliminando assim a possibilidade deste ataque.
Nós recomendamos que você altere sua senha como um ato de precaução, todavia não é nossa pretensão que essa mudança de senha seja para todos os usuários. Novamente, não houve evidência de que os usuários Wikimedia Foundation tenha sido atingidos por esse ataque, mas desejamos que todos os nossos usuários estejam tão seguros quanto possível.
Agradecemos pela sua compreensão e paciência.
Greg Grossmeier, no interesse da equipe de Operações e Plataformas da WMF
Linha do tempo da reposta da Wikimedia
(Os horários estão em UTC)
7 de abril:
8 de abril:
- 04:03:Iniciamos a atualização da libssl em todos os nossos servidores, começando nas máquinas de maior prioridade.
- 09:08:Iniciamos a substituição dos certificados SSL.
- 13:09:Forçamos a atualização da libssl no WMF Tool Labs.
- 13:46:A atualização do libssl fica completa em todos os servidores públicos.
- 16:45:Todos os servidores wiki da Wikimedia acessíveis aos usuários que usam SSL passam a ter certificados novos.
- 23:08:Começámos a resetar os tokens de login dos usuários(forçando-os a fazer novamente login, usando a nova libssl e os novos certificados.)
9 de Abril:
- 13:54:É substituído o certificado ssl do ticket.wikimedia.org(o último)
- 16:44: É enviado um email a todos os utilizadores do ticket.wikimedia.org (OTRS) e do otrs-wiki.wikimedia.org solicitando que alterem suas senhas.
- 22:33: Todos os usuários do Bugzilla foram deslogados
10 de Abril:
Perguntas mais frequentes
(Esta secção será expandida conforme necessidade)
- Porque é que a data "não válido antes de" não mudou no certificado SSL se vocês já o substituíram?
- O nosso provedor de certificados SSL conserva a data original "não válido antes de" (algumas vezes chamado, ainda que incorretamente, de "publicado em") em qualquer certificado substituído. Não se trata de uma prática incomum. Para além de observar as mudanças nos arquivos .pem linkados acima na linha do tempo, pode-se também verificar que a substituição foi efetivada comparando a assinatura digital (fingerprint) do novo certificado com a do anterior.