首页 > 动态 > 关键词 > OpenSSL漏洞最新资讯 > 正文

解析OpenSSL漏洞:影响巨大 两年前已存在

2014-04-09 10:45 · 稿源:

美国新闻网站Vox周二撰文,对当天公布的OpenSSL“心脏流血”漏洞进行了全面解读。

以下为文章全文:

什么是SSL?

SSL是一种流行的加密技术,可以保护用户通过互联网传输的隐私信息。当用户访问Gmail.com等安全网站时,就会在URL地址旁看到一个“锁”,表明你在该网站上的通讯信息都被加密。

这个“锁”表明,第三方无法读取你与该网站之间的任何通讯信息。在后台,通过SSL加密的数据只有接收者才能解密。如果不法分子监听了用户的对话,也只能看到一串随机字符串,而无法了解电子邮件、Facebook帖子、信用卡账号或其他隐私信息的具体内容。

SSL最早在1994年由网景推出,1990年代以来已经被所有主流浏览器采纳。最近几年,很多大型网络服务都已经默认利用这项技术加密数据。如今,谷歌、雅虎和Facebook都在使用SSL默认对其网站和网络服务进行加密。

什么是“心脏出血”漏洞?

多数SSL加密的网站都使用名为OpenSSL的开源软件包。本周一,研究人员宣布这款软件存在严重漏洞,可能导致用户的通讯信息暴露给监听者。OpenSSL大约两年前就已经存在这一缺陷。

工作原理:SSL标准包含一个心跳选项,允许SSL连接一端的电脑发出一条简短的信息,确认另一端的电脑仍然在线,并获取反馈。研究人员发现,可以通过巧妙的手段发出恶意心跳信息,欺骗另一端的电脑泄露机密信息。受影响的电脑可能会因此而被骗,并发送服务器内存中的信息。

该漏洞的影响大不大?

很大,因为有很多隐私信息都存储在服务器内存中。普林斯顿大学计算机科学家艾德·菲尔腾(Ed Felten)表示,使用这项技术的攻击者可以通过模式匹配对信息进行分类整理,从而找出密钥、密码,以及信用卡号等个人信息。

丢失了信用卡号和密码的危害有多大,相信已经不言而喻。但密钥被盗的后果可能更加严重。这是是信息服务器用于整理加密信息的一组代码。如果攻击者获取了服务器的私钥,便可读取其收到的任何信息,甚至能够利用密钥假冒服务器,欺骗用户泄露密码和其他敏感信息。

谁发现的这个问题?

该漏洞是由Codenomicon和谷歌安全部门的研究人员独立发现的。为了将影响降到最低,研究人员已经与OpenSSL团队和其他关键的内部人士展开了合作,在公布该问题前就已经准备好修复方案。

谁能利用“心脏流血”漏洞?

“对于了解这项漏洞的人,要对其加以利用并不困难。”菲尔腾说。利用这项漏洞的软件在网上有很多,虽然这些软件并不像iPad应用那么容易使用,但任何拥有基本编程技能的人都能学会它的使用方法。

当然,这项漏洞对情报机构的价值或许最大,他们拥有足够的基础设施来对用户流量展开大规模拦截。我们知道,美国国家安全局(以下简称“NSA”)已经与美国电信运营商签订了秘密协议,可以进入到互联网的骨干网中。用户或许认为,Gmail和Facebook等网站上的SSL加密技术可以保护他们不受监听,但NSA 却可以借助“心脏流血”漏洞获取解密通讯信息的私钥。

虽然现在还不能确定,但如果NSA在“心脏流血”漏洞公之于众前就已经发现这一漏洞,也并不出人意料。OpenSSL是当今应用最广泛的加密软件之一,所以可以肯定的是,NSA的安全专家已经非常细致地研究过它的源代码。‘

有多少网站受到影响?

目前还没有具体的统计数据,但发现该漏洞的研究人员指出,当今最热门的两大网络服务器Apache和nginx都使用OpenSSL。总体来看,这两种服务器约占全球网站总数的三分之二。SSL还被用在其他互联网软件中,比如桌面电子邮件客户端和聊天软件。

发现该漏洞的研究人员几天前就已经通知OpenSSL团队和重要的利益相关者。这让OpenSSL得以在漏洞公布当天就发布了修复版本。为了解决该问题,各大网站需要尽快安装最新版OpenSSL。

雅虎发言人表示:“我们的团队已经在雅虎的主要资产中(包括雅虎主页、雅虎搜索、雅虎电邮、雅虎财经、雅虎体育、雅虎美食、雅虎科技、Flickr和Tumblr)成功部署了适当的修复措施,我们目前正在努力为旗下的其他网站部署修复措施。”

谷歌表示:“我们已经评估了SSL漏洞,并且给谷歌的关键服务打上了补丁。”Facebook称,在该漏洞公开时,该公司已经解决了这一问题。

微软发言人也表示:“我们正在关注OpenSSL问题的报道。如果确实对我们的设备和服务有影响,我们会采取必要措施保护用户。”

用户应当如何应对该问题?

不幸的是,如果访问了受影响的网站,用户无法采取任何自保措施。受影响的网站的管理员需要升级软件,才能为用户提供适当的保护。

不过,一旦受影响的网站修复了这一问题,用户便可以通过修改密码来保护自己。攻击者或许已经拦截了用户的密码,但用户无法知道自己的密码是否已被他人窃取。

  • 相关推荐
  • 大家在看
  • 防止APP窃取用户隐私问题,OPPO安全在行动

    在 2020 年3· 15 晚会所曝光的问题中,手机APP窃取用户隐私的情况再度出现。根据央视报道称,部分APP中集成的SDK存在未经过授权窃取用户的个人敏感信息的情况。 OPPO作为一家软硬服一体化的科技公司,软件安全与互联网应用安全是其在安全领域的重要建设部分。OPPO安全团队从实际出发,防止APP窃取用户隐私问题,切实保证用户的隐私及数据安全。 发现底层问题:APP为什么要集成三方的SDK? 一般来讲,一款APP涉及内容非常多,比如?

  • 被工信部点名的58款App,是怎么侵犯用户隐私的?

    近期,工信部集中曝光了 58 款侵犯用户隐私的App,在这其中包含平时人们日常所使用的一些App,同时,站在这些App背后的,并不是人们所认为的小公司,有些是著名的上市公司。

  • 通付盾移动应用剪切板防护:App用户隐私的反监听守护者

    隐私保护,对App“越界”说不!早在今年2月份,抖音海外版TikTok就因为发生高频率读取剪贴板内容的问题饱受指责,TikTok方面解释称这是他们的反垃圾策略,为了应对目前机器人水军大量通过脚本来实现复制粘贴批量输出垃圾内容的现状。但不可否认的是,这一策略很容易伤及无辜,给人一种TikTok在监控自己聊天内容的感觉。以致TikTok近日不得不提交新版本,删除该反垃圾邮件功能,以消除任何潜在的误解。类似的情况还出现在全球职场社

  • 小红书CTO山丘:用户隐私保护是数据应用的第一前提

    【TechWeb】7月10日消息,小红书CTO山丘在参加世界人工智能大会“多方安全计算圆桌论坛”时表示,“我们一直非常非常注重用户数据隐私,因此我们对于多方安全计算、联邦学习等技术一方面表示很期待,但对于采用我们的态度非常谨慎。”据了解,小红书目前月活过亿,超过70%的用户为90后,每天产生超过70亿次的笔记曝光。为了保护用户的数据小红书采取了许多严格措施,在内部小红书组建了专业的信息安全团队负责对黑客入侵防御、数?

  • 315曝光:50多款APP涉嫌内置SDK插件窃取用户隐私

    今晚315晚会上曝光一些APP中植入某种功能或服务的插件(SDK),就能将个人信息全部转走。2019年11月,上海市消费者权益保护委员会委托第三方公司对50多款手机软件中的SDK插件进行了专门的测试,包括国美易卡、遥控器、最强手电、全能遥控器、91极速购、天天回收、闪到、萝卜商城、紫金普惠等50多款手机软件。监测人员发现这些App中有上海氪信信息技术有限公司和北京招彩旺旺信息技术有限公司两家公司的S

  • NEC爆出大量安全漏洞,或将影响所有中小企业及政府!

    日本NEC是全球IT、通信网络的领先供应商之一,也是全球500强企业之一。NEC主要从事IT服务、平台业务、运营商网络、社会基础设施、个人解决方案等产品的研发、集群软件、生产和销售,产品多达15000多种.NEC在全球150多个国家和地区开展业务,融合先进的信息技术和网络技术,向政府、企业及个人提供卓越的综合解决方案。不过7月30日,NEC被爆其通信产品和解决方案中存在大量安全漏洞,旗下多款通信服务器和电话交换机纷纷中招,或将影响

  • 重视用户隐私安全,ColorOS 7.2系统级防护让流氓APP无从下手

    近日,推迟数月之久的第 30 届 315 晚会于 7 月 16 日正式播出,节目中不仅涉及到了食品安全、日用品安全等,还曝光了手机里的窃贼插件。技术人员通过检测表示,这些窃贼插件会在用户不知情的情况下窃取包括设备 IMEI、电话号码、短信记录、通讯录和传感器信息等隐私。同时技术人员也进一步说明到,因为这些窃取行为的存在,一旦用户有网络交易需要用到短信验证码,就极有可能造成严重的经济损失。国内应用的乱象不是一两天的事情?

  • 云安全提醒:火狐浏览器爆出大量安全漏洞,赶紧更新!

    美国Mozilla是一个以创作Firefox网页浏览器而闻名的自由软件社区。Mozilla社区开发、推广和支持Mozilla相关项目,致力于推动自由软件与开放标准的发展。Mozilla Firefox(火狐浏览器)是Mozilla基金会的产品,它是一款开源Web浏览器,引擎反应快,内存占用少。Firefox从2005年开始,每年都被媒体选为年度最佳浏览器。Mozilla Firefox ESR是Firefox(Web浏览器)的一个延升支持版本,适用于企业或者工作单位,又称Firefox企业版。它具有体?

  • 科技独角兽Dave承认出现安全漏洞 750万用户受影响

    继黑客在一个公共论坛上公布了 7516625 名用户的信息后,数字银行应用和科技独角兽Dave.com今天证实存在安全漏洞。

  • 过去一年,微软为安全漏洞奖励支出1370万美元

    微软透露,自去年 7 月以来,它已向安全研究人员奖励了 1370 万美元,用于鼓励提交微软软件漏洞的行为。

  • 巨头公司Microsoft,SAP,Adobe和Google“扎堆”发布针对安全漏洞更新

    众所周知,对于安全研究员来说,每个月的第二个星期二是微软(Microsoft )“补丁星期二”。这次也毫无例外,微软公司当天发布了针对其产品中的安全漏洞的补丁。不过比较戏剧性的是,这次是“聚会”,因为SAP ,Adobe 和Google 同一天也都针对自身产品发布了安全更新。Microsoft早在今年5月份,安全研究人员发现了Windows DNS的一个严重安全漏洞并上报给微软。微软已确认此漏洞,于7月14日发布了安全漏洞更新.此漏洞代号为"Si

  • 知名路由器公司Netgear 79款路由器惊现大量安全漏洞,设备可被劫持!

    美国网件(NETGEAR)为全球商用企业用户和家庭个人用户提供创新的产品、优质的智能家庭无线解决方案。 产品行销全球20余年,专注无线,坚守初心,推出无数时代先锋型的杰作,在欧美乃至亚太地区拥有令人瞩目的市场份额和消费者口碑。然而根据7月份安全漏洞调查显示,NETGEAR多达79款路由器存在大量安全漏洞。以下是漏洞详情:httpd服务漏洞该漏洞存在于Netgear路由器的httpd服务中,问题出在把用户输入的资料复制到仅能容纳固定长度

  • 安全人员称苹果Enclave存在漏洞 但不会影响大多数iPhone用户

    安全研究人员近日披露了苹果Secure Enclave处理器的一个漏洞,但虽然敏感信息的数据存储,意味着包括Apple Pay详情和Face ID生物识别记录在内的数据有可能受到攻击者的攻击,但事实上,这对于绝大多数苹果客户来说,它不大可能成为一个问题。

  • 微软Office漏洞可控制苹果macOS 会影响不定期更新软件的用户

    前美国国家安全局黑客Patrick Wardle发现了微软Office 的Mac版本存在的一个安全漏洞,可导致黑客控制整台Mac电脑。

  • 打破神话的代币经济与一些常见的思维漏洞

    “在这篇文章中,我将对与代币经济相关的一些概念进行解释,欢迎大家阅读本文。——币安首席执行官赵长鹏(CZ)每天,我都看到人们对代币经济基础概念的各种思维漏洞。我知道,关于金融、关于货币供给系统如何运作等知识,学校教科书内容涉及的介绍篇幅有限。我也知道,加密资产是新兴行业,有些知识是需要我们所有人都去学习的。在这篇文章中,我将解释一些概念,请轻松浏览本文。这些都是我本人的观点,观点可能有失偏颇。我推荐大

  • 黑客发现新漏洞:可用于iOS 13.6越狱

    据外媒最新报道称,已经有开发者给出消息称,有用于iOS 13.6正式版的漏洞了(efp0),不过目前相应的越狱工具还在初始阶段。需要指出的是,针对 tfp0 漏洞利用的开发仍处于早期阶段,且目前尚

  • IBM 多款产品爆出漏洞,或严重影响银行等金融机构

    IBM是全球最大的信息技术和业务解决方案公司,其全球能力包括服务、软件、硬件系统、研发及相关融资支持。IBM始终以超前的技术、出色的管理和独树一帜的产品领导着信息产业的发展,保证了世界范围内几乎所有行业用户对信息处理的全方位需求。不过IBM于7月31日发布了安全公告,IBM 旗下多款产品存在大量漏洞,或严重影响银行等金融机构。以下是漏洞详情:一.金融事务管理器(FTM HVP)IBM Financial Transaction Manager for High Va

    IBM
  • SIGRed 严重漏洞来势汹汹,立即修复刻不容缓

    想象一下,如果有人能够在您不知情的情况下拦截并阅读您的每一封邮件(包括新办理的银行卡、各种支付账号信息、工作申请表等等)然后再将其转发给您,将会发生什么?通过邮件了解您的详细信息,黑客能通过复制或篡改您的邮件对您造成破坏性影响。再试想一下,黑客可以在您企业的网络上执行相同的操作,拦截和操控用户的电子邮件和网络流量,终止服务运行,收集用户凭证等等。实际上,他们将能够完全控制您的 IT 设施与核心业务。

  • 盘古团队发现苹果不可修复漏洞:iOS 14能完美越狱

    来自中国的安全团队盘古对iOS 14进行了完美越狱,而他们利用了苹果Secure Enclave安全协处理器上的一个“永久性”的漏洞。Secure Enclave安全协处理器几乎是苹果产品的标准配置,它

  • 盘古团队演示iOS 14越狱:发现Secure Enclave存“不可修复”漏洞

    日前召开的 Mosec 2020 大会上,国内越狱团队盘古发现了苹果 Secure Enclave 安全协处理器上的一个“永久性”的漏洞。这可能会让 iPhone、iPad、Mac、Apple Watch 和其他苹果设备处于危险当中。

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议
  • 热门标签

热文