新聞動(dòng)態(tài)
快捷租賃4月10日全面解讀OpenSSL“心臟出血”漏洞
- 2014-04-10 14:53:43
-
8日晚，“黑客”迎來(lái)狂歡之夜，網(wǎng)絡(luò)安全協(xié)議OpenSLL曝出安全漏洞，讓他們借機(jī)肆意掃描網(wǎng)站數(shù)據(jù)庫(kù)，用戶登錄電商、網(wǎng)銀的賬戶、密碼等關(guān)鍵信息可能會(huì)泄露，造成財(cái)產(chǎn)損失。黑客和安全保衛(wèi)者正在進(jìn)行“你盜我堵”的瘋狂賽跑，在這一過(guò)程中，也暴露出我國(guó)在網(wǎng)絡(luò)安全防護(hù)方面存在軟肋。
網(wǎng)絡(luò)地震來(lái)襲
微信淘寶網(wǎng)銀均會(huì)受影響
一位安全行業(yè)人士在某著名電商網(wǎng)站上用這個(gè)漏洞嘗試讀取數(shù)據(jù)，在讀取200次后，獲得了40多個(gè)用戶名、7個(gè)密碼，用這些密碼，他成功地登錄了該網(wǎng)站
ZoomEye最新完成的掃描數(shù)據(jù)顯示，全國(guó)160萬(wàn)個(gè)443端口中，已有3.3萬(wàn)個(gè)受本次OpenSSL漏洞影響。在國(guó)外，受到波及的網(wǎng)站也數(shù)不勝數(shù)，連NASA(美國(guó)航空航天局)也已宣布，用戶數(shù)據(jù)庫(kù)遭泄露。
一安全行業(yè)人士透露，他在某著名電商網(wǎng)站用這個(gè)漏洞嘗試讀取數(shù)據(jù)，讀取200次后獲得40多個(gè)用戶名、7個(gè)密碼，用這些密碼，他成功地登錄了該網(wǎng)站。
北京知道創(chuàng)宇信息技術(shù)有限公司研究部總監(jiān)鐘晨鳴表示，此次漏洞會(huì)影響為數(shù)眾多的使用https的網(wǎng)站，其中包括公眾熟知并且經(jīng)常訪問(wèn)的微信、淘寶、各個(gè)網(wǎng)銀、社交、門戶等知名網(wǎng)站。而且越是知名的大網(wǎng)站，越容易受到不法分子利用漏洞進(jìn)行攻擊。
據(jù)介紹，這一漏洞的發(fā)現(xiàn)者們給這個(gè)漏洞起了個(gè)形象的名字：heartbleed——心臟出血。
“這個(gè)漏洞是地震級(jí)別的。”中國(guó)計(jì)算機(jī)學(xué)會(huì)信息安全專業(yè)委員會(huì)主任嚴(yán)明說(shuō)，目前受害的用戶具體數(shù)字還難以知曉，要到過(guò)后才能統(tǒng)計(jì)出來(lái)。“打個(gè)形象的比喻，就像家里的門很堅(jiān)固也鎖好了，但是發(fā)現(xiàn)窗戶虛掩著。”
威脅長(zhǎng)期存在
并非此次修復(fù)漏洞就安全
該漏洞即使被入侵也不會(huì)在服務(wù)器日志中留下痕跡，攻擊者可以利用已獲得的數(shù)據(jù)進(jìn)行更大程度上的破壞
然而，很多公司并沒(méi)認(rèn)識(shí)到問(wèn)題的重要性。北京知道創(chuàng)宇信息技術(shù)有限公司持續(xù)監(jiān)測(cè)發(fā)現(xiàn)，一些機(jī)構(gòu)升級(jí)了OpenSSL，如360、百度等；一些選擇暫停SSL服務(wù)，仍繼續(xù)使用其主要功能，如微信；有的為規(guī)避風(fēng)險(xiǎn)，干脆暫停網(wǎng)站全部服務(wù)；更有一部分根本沒(méi)有采取任何措施。
鐘晨鳴說(shuō)，這個(gè)漏洞實(shí)際上出現(xiàn)于2012年，至今兩年多，誰(shuí)也不知道是否已有黑客利用漏洞獲取了用戶資料；而且由于該漏洞即使被入侵也不會(huì)在服務(wù)器日志中留下痕跡，所以目前還沒(méi)辦法確認(rèn)哪些服務(wù)器被入侵，也就沒(méi)法定位損失、確認(rèn)泄漏信息，從而通知用戶進(jìn)行補(bǔ)救。
相對(duì)于當(dāng)前可能出現(xiàn)的信息泄密和財(cái)產(chǎn)損失，方興說(shuō)，它的影響將是持久深遠(yuǎn)的，并不是此次修復(fù)漏洞后就安全了，攻擊者還可以利用獲得的數(shù)據(jù)進(jìn)行更大程度上的破壞。
不過(guò)，電商企業(yè)紛紛表示未受到影響，或已修復(fù)處理完畢。其中，1號(hào)店方面表示，公司的技術(shù)人員4月8日已經(jīng)充分評(píng)估過(guò)該漏洞對(duì)1號(hào)店系統(tǒng)的影響，目前1號(hào)店在線業(yè)務(wù)系統(tǒng)都是安全的，不受該漏洞的任何影響。阿里巴巴表示，旗下包括淘寶、天貓等電商平臺(tái)并未受到事件波及。支付寶相關(guān)負(fù)責(zé)人向記者表示，并未受到安全漏洞影響。騰訊方面則稱，目前相關(guān)的產(chǎn)品業(yè)務(wù)如郵箱、財(cái)付通、QQ、微信等都已經(jīng)修復(fù)完畢，“大家可以放心使用。”
不過(guò)金山毒霸安全專家李鐵軍認(rèn)為，目前尚無(wú)法準(zhǔn)確評(píng)估黑客利用漏洞獲得了多少數(shù)據(jù)，因此普通用戶仍然需要小心為上。李鐵軍表示，對(duì)重要服務(wù)，盡可能開(kāi)通手機(jī)驗(yàn)證或動(dòng)態(tài)密碼，比如支付寶、郵箱等，登錄重要服務(wù)，不僅需要驗(yàn)證用戶名密碼，最好綁定手機(jī)，加手機(jī)驗(yàn)證碼登錄。李鐵軍還建議用戶修改重要服務(wù)的登錄密碼，“一個(gè)密碼的使用時(shí)間不宜過(guò)長(zhǎng)，超過(guò)3個(gè)月就該換掉了。”
對(duì)于普通用戶，安全領(lǐng)域?qū)＜医ㄗh，近日在相關(guān)網(wǎng)站升級(jí)修復(fù)前，建議暫且不要登錄網(wǎng)購(gòu)、網(wǎng)銀賬戶，尤其是對(duì)那些沒(méi)有明確采取補(bǔ)救措施的網(wǎng)站，更應(yīng)該謹(jǐn)慎避免泄密風(fēng)險(xiǎn)。在網(wǎng)站完成修復(fù)升級(jí)后，及時(shí)修改密碼，避免引發(fā)次生危害。
美國(guó)新聞網(wǎng)站Vox周二撰文，對(duì)當(dāng)天公布的OpenSSL“心臟出血”漏洞進(jìn)行了全面解讀。以下為文章全文：
什么是SSL？
SSL是一種流行的加密技術(shù)，可以保護(hù)用戶通過(guò)互聯(lián)網(wǎng)傳輸?shù)碾[私信息。當(dāng)用戶訪問(wèn)Gmail.com等安全網(wǎng)站時(shí)，就會(huì)在URL地址旁看到一個(gè)“鎖”，表明你在該網(wǎng)站上的通訊信息都被加密。
這個(gè)“鎖”表明，第三方無(wú)法讀取你與該網(wǎng)站之間的任何通訊信息。在后臺(tái)，通過(guò)SSL加密的數(shù)據(jù)只有接收者才能解密。如果不法分子監(jiān)聽(tīng)了用戶的對(duì)話，也只能看到一串隨機(jī)字符串，而無(wú)法了解電子郵件、Facebook帖子、信用卡賬號(hào)或其他隱私信息的具體內(nèi)容。
SSL最早在1994年由網(wǎng)景推出，1990年代以來(lái)已經(jīng)被所有主流瀏覽器采納。最近幾年，很多大型網(wǎng)絡(luò)服務(wù)都已經(jīng)默認(rèn)利用這項(xiàng)技術(shù)加密數(shù)據(jù)。如今，谷歌、雅虎和Facebook都在使用SSL默認(rèn)對(duì)其網(wǎng)站和網(wǎng)絡(luò)服務(wù)進(jìn)行加密。
什么是“心臟出血”漏洞？
多數(shù)SSL加密的網(wǎng)站都使用名為OpenSSL的開(kāi)源軟件包。本周一，研究人員宣布這款軟件存在嚴(yán)重漏洞，可能導(dǎo)致用戶的通訊信息暴露給監(jiān)聽(tīng)者。OpenSSL大約兩年前就已經(jīng)存在這一缺陷。
工作原理：SSL標(biāo)準(zhǔn)包含一個(gè)心跳選項(xiàng)，允許SSL連接一端的電腦發(fā)出一條簡(jiǎn)短的信息，確認(rèn)另一端的電腦仍然在線，并獲取反饋。研究人員發(fā)現(xiàn)，可以通過(guò)巧妙的手段發(fā)出惡意心跳信息，欺騙另一端的電腦泄露機(jī)密信息。受影響的電腦可能會(huì)因此而被騙，并發(fā)送服務(wù)器內(nèi)存中的信息。
該漏洞的影響大不大？
很大，因?yàn)橛泻芏嚯[私信息都存儲(chǔ)在服務(wù)器內(nèi)存中。普林斯頓大學(xué)計(jì)算機(jī)科學(xué)家艾德·菲爾騰(Ed Felten)表示，使用這項(xiàng)技術(shù)的攻擊者可以通過(guò)模式匹配對(duì)信息進(jìn)行分類整理，從而找出密鑰、密碼，以及信用卡號(hào)等個(gè)人信息。
丟失了信用卡號(hào)和密碼的危害有多大，相信已經(jīng)不言而喻。但密鑰被盜的后果可能更加嚴(yán)重。這是是信息服務(wù)器用于整理加密信息的一組代碼。如果攻擊者獲取了服務(wù)器的私鑰，便可讀取其收到的任何信息，甚至能夠利用密鑰假冒服務(wù)器，欺騙用戶泄露密碼和其他敏感信息。
誰(shuí)發(fā)現(xiàn)的這個(gè)問(wèn)題？
該漏洞是由Codenomicon和谷歌安全部門的研究人員獨(dú)立發(fā)現(xiàn)的。為了將影響降到最低，研究人員已經(jīng)與OpenSSL團(tuán)隊(duì)和其他關(guān)鍵的內(nèi)部人士展開(kāi)了合作，在公布該問(wèn)題前就已經(jīng)準(zhǔn)備好修復(fù)方案。
誰(shuí)能利用“心臟出血”漏洞？
“對(duì)于了解這項(xiàng)漏洞的人，要對(duì)其加以利用并不困難。”菲爾騰說(shuō)。利用這項(xiàng)漏洞的軟件在網(wǎng)上有很多，雖然這些軟件并不像iPad應(yīng)用那么容易使用，但任何擁有基本編程技能的人都能學(xué)會(huì)它的使用方法。
當(dāng)然，這項(xiàng)漏洞對(duì)情報(bào)機(jī)構(gòu)的價(jià)值或許最大，他們擁有足夠的基礎(chǔ)設(shè)施來(lái)對(duì)用戶流量展開(kāi)大規(guī)模攔截。我們知道，美國(guó)國(guó)家安全局(以下簡(jiǎn)稱“NSA”)已經(jīng)與美國(guó)電信運(yùn)營(yíng)商簽訂了秘密協(xié)議，可以進(jìn)入到互聯(lián)網(wǎng)的骨干網(wǎng)中。用戶或許認(rèn)為，Gmail和Facebook等網(wǎng)站上的SSL加密技術(shù)可以保護(hù)他們不受監(jiān)聽(tīng)，但NSA卻可以借助“心臟出血”漏洞獲取解密通訊信息的私鑰。
雖然現(xiàn)在還不能確定，但如果NSA在“心臟出血”漏洞公之于眾前就已經(jīng)發(fā)現(xiàn)這一漏洞，也并不出人意料。OpenSSL是當(dāng)今應(yīng)用最廣泛的加密軟件之一，所以可以肯定的是，NSA的安全專家已經(jīng)非常細(xì)致地研究過(guò)它的源代碼。
有多少網(wǎng)站受到影響？
目前還沒(méi)有具體的統(tǒng)計(jì)數(shù)據(jù)，但發(fā)現(xiàn)該漏洞的研究人員指出，當(dāng)今最熱門的兩大網(wǎng)絡(luò)服務(wù)器Apache和nginx都使用OpenSSL。總體來(lái)看，這兩種服務(wù)器約占全球網(wǎng)站總數(shù)的三分之二。SSL還被用在其他互聯(lián)網(wǎng)軟件中，比如桌面電子郵件客戶端和聊天軟件。
發(fā)現(xiàn)該漏洞的研究人員幾天前就已經(jīng)通知OpenSSL團(tuán)隊(duì)和重要的利益相關(guān)者。這讓OpenSSL得以在漏洞公布當(dāng)天就發(fā)布了修復(fù)版本。為了解決該問(wèn)題，各大網(wǎng)站需要盡快安裝最新版OpenSSL。
用戶應(yīng)當(dāng)如何應(yīng)對(duì)該問(wèn)題？
不幸的是，如果訪問(wèn)了受影響的網(wǎng)站，用戶無(wú)法采取任何自保措施。受影響的網(wǎng)站的管理員需要升級(jí)軟件，才能為用戶提供適當(dāng)?shù)谋Ｗo(hù)。
不過(guò)，一旦受影響的網(wǎng)站修復(fù)了這一問(wèn)題，用戶便可以通過(guò)修改密碼來(lái)保護(hù)自己。攻擊者或許已經(jīng)攔截了用戶的密碼，但用戶無(wú)法知道自己的密碼是否已被他人竊取。
- [返回首頁(yè)] [打印] [返回上頁(yè)]
新聞動(dòng)態(tài)
產(chǎn)品分類
聯(lián)系我們
聯(lián)系人:
客服部電話:
021-51870237(總機(jī))- 15221090990(24H服務(wù))
- 15221755670
傳真:
郵箱:
[email protected]
租賃客服2
投影儀租賃客服3
租賃客服4
搜索產(chǎn)品