АНБ отрицает, что знало об уязвимости Heartbleed

13.04.2014 | 23:42 Экономика

Агентство оспаривает доклад, в котором говорится, что оно использовало Heartbleed в своих целях

Агентство национальной безопасности США, занимающееся кроме наблюдения и кибербезопасностью, оспаривает доклад, в котором говорится, что оно знало об уязвимости Heartbleed в течении не менее двух лет, прежде чем другие исследователи раскрыли её в этом месяце.

АНБ использовало Heartbleed для сбора разведывательной информации, согласно докладу Bloomberg, в котором цитируются два анонимных источника. Уязвимость Heartbleed в OpenSSL может позволить злоумышленнику контролировать информацию, передаваемую между пользователем и веб-службой.

Однако пресс-секретарь АНБ назвал доклад неверным. «АНБ не было известно о недавно выявленной уязвимости в OpenSSL, так называемой Heartbleed-уязвимости, пока информация не была обнародована в частном докладе кибербезопасности». «Доклады, которые утверждают обратное — не правы».

В то же самое время, в которое АНБ было обвинено в использовании Heartbleed для слежки, другое агентство заявляет о своих усилиях по обмену информацией об ошибке.
После того, как была опубликована информация о баге, Министерство внутренней безопасности США (DHS) и Компьютерная группа реагирования на чрезвычайные ситуации (US-CERT) «немедленно поделилась полезной информацией с общественностью и предложила меры по смягчению последствий», говорит Ларри Зелвин, директор Национального отделения кибербезопасности и центра интеграции коммуникаций DHS.

DHS также обратилась к некоторым организациям, чтобы помочь определить степень их уязвимости, написал Зелвин в своем блоге.

«Несмотря на то, что у нас не было никаких сообщений о нападениях или инцидентах, связанных с этой конкретной уязвимостью, подтвержденных в это время, всё еще возможно, что злоумышленники в киберпространстве могли воспользоваться уязвимостью в устаревших системах», написал он. «Именно поэтому у каждого есть своя роль для обеспечения кибербезопасности нашей страны».

Алан Паллер, директор по исследованиям в области кибербезопасности учебной организации SANS Institute, сказал, что миссия наблюдения АНБ имеет более высокий приоритет, чем его миссия киберзащиты.

«Наступательная миссия лучше финансируются и является более видимой частью работы АНБ», сказал он. «В конкуренции между раскрытием и неразглашением, нападение, как правило, выигрывает».