Questão 1181968

• Banca: COPEVE-UFAL
• Órgão: UFAL
• Ano: 2014
• Provas: COPEVE-UFAL - 2014 - UFAL - Técnico de Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: SSL

. Recentemente foi reportada e amplamente divulgada a vulnerabilidade HeartBleed que potencialmente atingia inúmeros serviços que utilizam a biblioteca OpenSSL. Essa vulnerabilidade explora a função heartbeat do OpenSSL, que é utilizada para que o cliente teste se o servidor está ativo. A respeito dessa vulnerabilidade, é correto afirmar:

• A. o HeartBleed é uma vulnerabilidade do tipo buffer overrun. Nessa vulnerabilidade, o cliente envia uma solicitação válida para o servidor, porém com um pedido de um conteúdo maior que o solicitado. Assim, o servidor envia mais dados do que o previsto, possibilitando revelar trechos importantes da memória do servidor como senhas e chaves criptográficas.
  
• B. o HeartBleed é uma vulnerabilidade conhecida como man-in-the-middle (homem do meio), pois ele explora uma vulnerabilidade na entidade certificadora raiz do protocolo SSL, utilizando-a como intermediária do ataque. Assim, o HeartBleed se faz passar pela entidade certificadora raiz, sendo capaz de relevar dados sigilosos como senhas e chaves criptográficas do servidor.
  
• C. o HeartBleed é uma vulnerabilidade do tipo DDOS (negação de serviço distribuída) que permite que os invasores usem os servidores que utilizam a biblioteca OpenSSL vulnerável como escravos (zumbis) e assim ataquem outros servidores roubando dados sigilosos como senhas e chaves criptográficas.
  
• D. o HeartBleed é uma vulnerabilidade do tipo SQL injection, que explora a função heartbeat do OpenSSL substituindo a requisição do heartbeat por consultas SQL maliciosas e, assim, ganhando acesso privilegiado a senhas e chaves criptográficas armazenadas no servidor.
  
• E. o HeartBleed é uma vulnerabilidade do tipo session hijacking (sequestro de sessão), que faz com que o invasor explore uma sessão entre o servidor web vulnerável e o navegador, fazendo com que o invasor possa descobrir o identificador de sessão (session token) e, assim, quebrar a criptografia do OpenSSL, tendo acesso a informações sigilosas como senhas e mensagens.

Gabarito: A

Comentários

• Heartbleed (o nome significa Sangramento no Coração), um bug que existe em diversos sites que operam com o software OpenSSL, projeto que atua com os protocolos de segurança. 

  Hackers que saibam como explorar a falha podem interceptar o tráfego de dados, fingindo ser o servidor e dificultando que qualquer um saiba que existe algum problema no meio do caminho.

  O criminoso que consegue se aproveitar do bug pode puxar até 64 k de informações da memória do servidor. O hacker normalmente não tem como saber o que virá nesses dados, mas de vez em quando é possível coletar alguns dados privados. É importante ressaltar que é possível repetir esse processo inúmeras vezes.

   

  Resposta: a

   

  Fonte: http://www.tecmundo.com.br/internet/53683-como-funciona-o-heartbleed-a-maior-ameaca-atual-da-internet.htm

   

  Complementando...

   

  buffer overrun - em segurança computacional e programação, um transbordamento de dados ou estouro de buffer (do inglês buffer overflow ou buffer overrun) é uma anomalia onde um programa, ao escrever dados em um buffer, ultrapassa os limites dobuffer e sobrescreve a memória adjacente.

   

  Fonte: https://pt.wikipedia.org/wiki/Transbordamento_de_dados

• Gabarito A

  Heartbleed é um bug na biblioteca de software de criptografia open-source OpenSSL, que permite a um atacante ler a memória de um servidor ou de um cliente, permitindo a este recuperar chaves SSL privadas do servidor. [1][2][3] Os logs que foram examinados até agora, levam a crer que alguns hackers podem ter explorado a falha de segurança pelo menos cinco meses antes da falha ser descoberta por equipes de segurança.

   

  "Retroceder Nunca Render-se Jamais !"
  Força e Fé !
  Fortuna Audaces Sequitur !