heartbleed

kalabilirler'in entrysi kapsamında teknik bilgi de vereyim tam olsun.

openssl bilgisayarların birbirleri arasında güvenli iletişim sağlamak için kullanılan bir protokol. yukarıda asres satırında http(s) yazar bazı sitelerde. o -s- secure anlamındadır ve iletişimin şifrelendiği anlamına gelir. bu şifreleme de 128bit ya da 256 bit olarak yapılır. bu tip şifrelemelerde iletişimi izleyen birisi datayı çekse bile elindeki metin anlamsız kalır private key gerekir. bu key olmadan yapabileceği tek şey bruteforce yöntemi ile tek tek olası keyleri denemektir. bu da 128 bit şifrelenmiş veri üzerinde iyi ramli bir bilgisayar ile nereden baksan 2 sene demek.

bilgisayalar arası iletişim sırasında istemci bilgisayar servera bana veri gönder derken uzunluk belirterek gönderir. yani apple ver 5 harf der. openssl bunu alır servera belirtir server yanıt verir. öte yandan heartbleed açığı ile,openssl sağolsun bu uzunluk kontrolünü gelen veri üzerinden yapmıyor onun yerine client tarafının söylediği uzunluğu direk kabul ediyor.

yani apple 1000 harf diyor ve server bunu ok diyerek 1000 harfi gönderiyor. tabi bunu o anda hafızasında kalan veri üzerinden gönderiyor. bu veri de şifreli ama private key denilen ve tüm herşeyi şifreleyen key de gelebilir arada.