Прошло уже более двух месяцев с тех пор, как стало известно о Heartbleed-уязвимости в OpenSSL, одной из самых распространенных криптографических библиотек в Интернете. За неимением точной информации размеры бедствия тогда многим казались катастрофическими, и вендоры спешили закрыть новую брешь, выпуская патчи в предельно короткие сроки. Однако новое исследование показывает, что общее стремление избавиться от опасного бага уже пошло на спад.

Роберт Грэм (Robert Graham), исследователь и владелец консультативной компании Errata Security, наблюдает процесс латания Heartbleed почти с самого начала. Через несколько дней после оглашения находки он впервые просканировал трафик на порту 443 и обнаружил более 615 тыс. уязвимых машин. Спустя месяц при повторном сканировании их число сократилось почти до 318 тыс. Новый скан, проведенный в конце прошлой недели, показал присутствие Heartbleed на 309 тыс. машин.

«Это показывает, что прекратились даже попытки закрыть уязвимость, — сетует исследователь. — В ближайшие десять дней следует ожидать неспешного сокращения по мере замены устаревших систем. Однако я уверен, что и через полторы недели найду тысячи систем, в том числе критические, в которых уязвимость все еще присутствует». Грэм собирается провести новый скан через месяц, затем через полгода, а впоследствии проводить его раз в году.

Важно отметить, что представленные Errata Security результаты не отражают картину во всей ее полноте. Тем не менее порт 443 является крупнейшей магистралью для HTTPS-трафика, использующего SSL, поэтому можно считать, что Грэм получил данные на достаточно представительной выборке из систем, потенциально подверженных Heartbleed.

Напомним, Heartbleed — это серьезная, широко распространенная уязвимость, эксплуатация которой чревата кражей конфиденциальной информации, такой как идентификаторы пользователей, а также приватных ключей шифрования, если есть возможность повтора атаки.

Полученные Errata Security результаты несколько обескураживают, однако создатели критической инфраструктуры и другого ПО продолжают патчить Heartbleed в своих продуктах. И это можно только приветствовать, тем более что исследователи находят все новые и новые способы ее эксплуатации.

Категории: Главное, Уязвимости