Wikimedia Blog/Drafts/Heartbleed

From Meta, a Wikimedia project coordination wiki
Jump to navigation Jump to search
This page is a translated version of the page Wikimedia Blog/Drafts/Heartbleed and the translation is 88% complete.
Outdated translations are marked like this.

This post has been published at https://blog.wikimedia.org/2014/04/10/wikimedias-response-to-the-heartbleed-security-vulnerability/ . You are welcome to add translations here.

Other languages:
Bahasa Indonesia • ‎Bahasa Melayu • ‎British English • ‎Deutsch • ‎English • ‎Latina • ‎Nederlands • ‎Tiếng Việt • ‎Türkçe • ‎asturianu • ‎azərbaycanca • ‎dansk • ‎español • ‎français • ‎italiano • ‎magyar • ‎polski • ‎português • ‎português do Brasil • ‎suomi • ‎svenska • ‎Österreichisches Deutsch • ‎čeština • ‎русский • ‎татарча/tatarça • ‎українська • ‎ייִדיש • ‎עברית • ‎العربية • ‎فارسی • ‎مصرى • ‎ଓଡ଼ିଆ • ‎தமிழ் • ‎മലയാളം • ‎ไทย • ‎中文 • ‎日本語 • ‎한국어

Resposta da Wikimedia à vulnerabilidade de segurança "Heartbleed"

Em 7 de abril, foi revelado um problema generalizado em um componente central da segurança na internet (OpenSSL). A vulnerabilidade já foi corrigida em todas as wikis da Wikimedia. Se você apenas lê a Wikipédia sem criar uma conta de usuário, não é necessário que você faça nada. Se você possui uma conta em qualquer uma das wikis, você deve logar-se novamente da próxima vez que acessá-la.

Esse problema, chamado de Heartbleed, permitiria que pessoas mal intencionadas ganhassem acesso à informações privilegiadas em qualquer site que possuísse uma versão vulnerável do programa. Wikis da Fundação Wikimedia estiveram potencialmente afetadas por essa vulnerabilidade por várias horas após a divulgação da falha. Entretanto, não tivemos evidências de nenhum comprometimento em nossos sistemas ou nas informações de nossos usuários, e devido à forma particular como nossos bancos de dados são configurados, seria bem difícil para um hacker explorar a vulnerabilidade com o intuito de adquirir as senhas de usuários das wikis.

Após ficarmos cientes da vulnerabilidade, começamos a atualizar nossos sistemas com versões corrigidas do software em questão. Em seguida, começamos a substituir os certificados SSL críticos e resetamos todos os tokens de sessão dos usuários. Veja o cronograma completo da nossa resposta abaixo.

Todos os usuários logados enviam um token secreto a cada pedido ao site. Se uma pessoa mal-intencionada fosse capaz de intercetar este token, poderia fazer-se passar por esse usuário. Ao resetar todos os tokens, forçamos os usuários a se logarem aos nossos servidores utilizando a versão atualizada e corrigida do software OpenSSL, eliminando assim a possibilidade deste ataque.

Nós recomendamos que você altere sua senha como um ato de precaução, todavia não é nossa pretensão que essa mudança de senha seja para todos os usuários. Novamente, não houve evidência de que os usuários Wikimedia Foundation tenha sido atingidos por esse ataque, mas desejamos que todos os nossos usuários estejam tão seguros quanto possível.

Agradecemos pela sua compreensão e paciência.

Greg Grossmeier, no interesse da equipe de Operações e Plataformas da WMF

Linha do tempo da reposta da Wikimedia

(Os horários estão em UTC)

7 de abril:

8 de abril:

09:08:Iniciamos a substituição dos certificados SSL.

13:09:Forçamos a atualização da libssl no WMF Tool Labs.

16:45:Todos os servidores wiki da Wikimedia acessíveis aos usuários que usam SSL passam a ter certificados novos.

9 de Abril:

13:54:É substituído o certificado ssl do ticket.wikimedia.org(o último)

10 de Abril:

Perguntas mais frequentes

(Esta secção será expandida conforme necessidade)

  • Porque é que a data "não válido antes de" não mudou no certificado SSL se vocês já o substituíram?
    O nosso provedor de certificados SSL conserva a data original "não válido antes de" (algumas vezes chamado, ainda que incorretamente, de "publicado em") em qualquer certificado substituído. Não se trata de uma prática incomum. Para além de observar as mudanças nos arquivos .pem linkados acima na linha do tempo, pode-se também verificar que a substituição foi efetivada comparando a assinatura digital (fingerprint) do novo certificado com a do anterior.