تعتبر هذه الثغرة من أقوى التهديدات والتحديات لأمن المعلومات
خوادم الشركات في المملكة ما زالت معرضة لخطر «HeartBleed»
كشف متخصصون في أمن المعلومات أن اجهزة الخوادم في المملكة ليست بعيدة عن خطر ثغرة "HeartBleed" التي تعتبر أخطر ثغرات نظام التشفير المفتوح المصدر "OpenSSL" الذي يقوم بتوفير الحماية والخصوصية والحماية الأمنية للمستخدمين. وأكدوا أنه بمجرد اتصال أي من المستخدمين بالانترنت فهذا يعني أنهم معرضون لخطر الاختراق، وعليه فيجب أخذ التدابير الاحتياطية لصد أي اختراق قد يصل اليهم عبر هذه الثغرة.
وقال عبدالله العياضي خبير امن المعلومات والمحاضر في الجامعة العربية المفتوحة: "الخوادم (السيرفرات) في المملكة مثلها كسائر المواقع الأخرى في العالم معرضة للخطر بسبب الثغرة الأمنية "HeartBleed"، حيث إن استخدام الانترنت يعني الاتصال بالعالم من حولنا متجاوزة حدود الزمان والمكان، فما دام المستخدم متصلا بشبكة الانترنت، فهو في الغالب ما يكون عرضة لأي ثغرة قد تصيب مرتادي هذه الشبكة على مستوى العالم، لذا يجب التنويه بأهمية نشر التوعية الأمنية لكافة شرائح المجتمع في المملكة من خلال وسائل الاعلام وكذلك شبكات التواصل الاجتماعي حتى لا يقعوا ضحية عدم معرفتهم بأخطار مثل هذه الثغرات والحوادث الأمنية العديدة وطرق الحماية والحد منها".
وتابع: "تتشكل أخطار هذه الثغرة في تحرر سيل كبير من مكونات ومحتويات ذاكرة النظام من الخادم (السيرفر) الى المستخدم ومن المستخدم الى الخادم، وامكانية حصول المتطفلين وقراصنة الانترنت بدورهم على المفاتيح الرقمية الخاصة (Secret/Private Key) بالخوادم، والتي تؤدي في نهاية المطاف الى افشاء العديد من البيانات والمعلومات السرية، وبدون أن تترك أي أثر للاختراق، كأسماء المستخدمين وكلمات المرور والرسائل الفورية والايميلات ومعلومات الاتصال والوثائق المالية والخاصة. حيث إن ما يميز هذه الثغرة عن غيرها من الثغرات هو تعريض كم هائل من المفاتيح السرية والمعلومات الحساسة المتعلقة بالمستخدمين على الانترنت مما يهدد معلوماتهم بالخطر".
وشدد على وجوب معرفة أرقام اصدارات نظام التشفير التي تعرضت للاختراق والتي تترتب على جميع المستخدمين فيما بعد، وأن يحذروا من التعامل مع تلك المواقع التي لم تقم بتحديث خوادمها للاصدار الآمن، فالاصدارات غير الآمنة لنظام التشفير المفتوح تبدأ من الاصدار "1.0.1 OpenSSL " الى الاصدار "1.0.1f OpenSSL"، حيث قام خبراء فريق المشروع بالغاء جميع الشهادات الأمنية المتوافقة مع هذه الاصدارات تحسبا لأي هجوم قد يشنه الهاكرز، وكردة فعل سريعة وفورية لمعالجة هذه الثغرة، قاموا على مشروع تطوير نظام التشفير مفتوح المصدر "OpenSSL" باصدار النسخة المؤمنة "OpenSSL 1.0.1g" في تاريخ 7 أبريل.
وحول التدابير الاحترازية، قال العياضي: إن اهم التدابير للحد من خطر هذه الثغرة هو التأكد من رقم الاصدار الخاص بـ OpenSSL وترقية النظام الى الاصدار الآمن، وعمل التحديثات الضرورية لأجهزة الكمبيوتر، وتغيير كلمة المرور بشكل دوري مع مراعاة تطبيق سياسة كلمة المرور لجعلها قوية وغير قابلة للتخمين أو السرقة وتشغيل الجداري الناري في الأجهزة دائما وتركيب برامج مكافحة الفيروسات والتجسس ومسح البيانات السرية والخاصة في الأجهزة كمعلومات البطاقة البنكية وكلمات المرور المحفوظة في المتصفحات وعدم افشاء كلمة السر لأي شخص أو كتابتها على ورقة وتركها معرضة للآخرين، بالاضافة الى عدم الضغط على أي اعلان غير موثوق فيه أو أي روابط مشبوهة تؤدي الى ما يسمى بالاصطياد الالكتروني.
وأشار الى أن جميع الأجهزة الذكية وأجهزة الاتصال الأخرى كالراوتر ليست في مأمن، فهي عرضة لهذه الثغرة بشكل مباشر عبر اتصالها بالانترنت، وغير مباشر عبر تلقي أحد التطبيقات المعرضة للاختراق الموجودة في جهاز الضحية اتصالا من أحد الخوادم التي يديرها المهاجمون مما ينتج عنه كشف البيانات الشخصية والمعلومات الحساسة الخاصة بالضحية.
ومن جانبه، قال فهد الحسين مستشار أمن المعلومات ومدير ادارة أمن المعلومات بمدينة الملك فهد الطبية: إن الأجهزة في المملكة معرضة لتهديد "HeartBleed" كما تشير الاحصائية السابقة التي عملت من قبل شركة (Boozallen) أن نسبة 30% من المستهلكين في المملكة تعرضوا السنة الماضية للهجمات الالكترونية. هذا ودائما تواجه المنظمات تهديدات أمن معلوماتية لطبيعة الحرب الالكترونية؛ لأن المخترقين يبحثون دائما عن سبل جديدة لاختراق الأنظمة والمنظمات تسعى لتطبيق أحدث الأساليب الرادعة، لذا لا نستطيع أن نقول إننا نستطيع الوصول الى نسبة أمان كاملة 100%.
وتابع: "بدأت ثغرة (HeartBleed) تقريبا في ديسمبر2011م وتم اكتشافها من قبل فريق أمن المعلومات التابع لقوقل وتزايد استغلال هذه الثغرة من المخترقين في مايو 2012م واستمر التزايد حتى هذه اللحظة بعد تأثر الشركات الكبرى مثل: انستقرام، قوقل، ياهو، جيميل، دروب بوكس أمازون وغيرها".
وعن آليات الحد من الثغرة قال الحسين: "يجب على المنظمات المستهدفة لثغرة "HeartBleed" القيام باختبار لاختراق أنظمتهم والتأكد من عدم امكانية تعرضهم لهذا التهديد، واذا تعرضت لها فيجب عليها تحديث الأنظمة بأحد البرمجيات واطلاق حملة توعوية للمستخدمين سواء عملاء أو موظفين بعدم استخدام أنظمتهم لحين الانتهاء من حل المشكلة التقنية، ومن جانب آخر على المستخدمين حينها تغيير كلمات المرور والحرص على تغييرها بأسرع وقت ممكن مع أخذ الحيطة والحذر عند التعامل مع مواقع التواصل الاجتماعي والبريد الالكتروني لأي عمليات مشبوهة قد تحدث.
وحول الخطر المتوقع على الأجهزة الذكية أشار الى أنه لن يكون هناك تأثير على الهواتف الذكية والأجهزة اللوحية على مستوى الأجهزة، ولكن التأثير الأكبر سيكون على بيانات المستخدمين المتواجدة في المواقع الالكترونية المستخدمة لبروتوكول OpenSSL.
