首页 > 经验 > 关键词 > OpenSSL最新资讯 > 正文

让全球2/3网站“心脏滴血”后,OpenSSL 经历了什么?

2017-09-27 09:00 · 稿源:雷锋网

如果把 OpenSSL 的 Heartbleed (心脏滴血)漏洞称为互联网安全历史上最严重的漏洞之一,想必不会有太多人反对。

SSL(安全套接层)协议是使用最为普遍的网站加密技术,而 OpenSSL 则是开源的 SSL 套件,为全球成千上万的 web 服务器所使用。这个严重漏洞出现后,全球三分之二的网站可被攻击,这种攻击还是“敞开了门,可以随意掠夺信息”的那种。

2014 年 4 月 9 日,该漏洞被曝光后, OpenSSL 背后的团队才被媒体争相报道,他们的故事逐渐为人所知。 2015 年,锤子科技罗永浩宣布对 OpenSSL 捐款 200 万元,某媒体发表一篇以 OpenSSL 为主角的《隐形战友》后, OpenSSL “火”了。随之而来的,是另一位知名人士对该文章的反对——《到底谁在捍卫我们的隐私?OpenSSL的真实故事》。

争论的角度集中在这几个方面:

1. OpenSSL 真的有这么英雄主义吗?

2. OpenSSL 真的有这么穷吗?之前少有人给他们捐款吗?

3.真实的 OpenSSL到底是什么样子?

9 月 23 日, OpenSSL 团队成员参观白山云科技公司时,OpenSSL创始人之一,美国国防部前顾问 Steve Marquess(也就是《隐形战友》中的史蒂夫)、OpenSSL前身SSLeay创建者,OpenSSL创始人之一 Tim Hudson 和白山云科技架构师,OpenSSL代码贡献榜排名18 的杨洋接受了包括雷锋网(公众号:雷锋网)宅客频道在内的媒体采访。

杨洋(左一)、 Tim Hudson(左二)、Steve Marquess(右一)

OpenSSL 的真实故事应该由他们自己来说。

--

“心脏滴血”后 OpenSSL 发生了什么

Steve 一行人此前从没有来过中国。

这个星期里,Steve  和 OpenSSL 其他 4 名核心成员还陆续参观了阿里巴巴、百度、腾讯、华为、锤子科技等,最后一站他们来到了好队友杨洋所在的白山云科技。

华为和锤子科技确实是中国两家对 OpenSSL 捐款最多的公司,Steve 在白山云科技的这场活动中,先对两家公司表示了感谢。

“我们收到的来自中国的资助要比其他任何一个国家都多。”Steve说。

现在 OpenSSL 日子已经过得好多了,相比三年前只有两个全职员工,他们现在有个 4 名全职员工,其中两个全职人员这次也来到了中国。

“‘心脏出血’是惨痛的经历,但是发生这件事情也有好处,这件事情显示了计算技术和互联网有多大程度依赖 OpenSSL,很多媒体进行了报道。它的发生是由于严重的安全漏洞,OpenSSL 规模那么大、复杂程度那么高、影响面那么大,却没有足够的人力保障它的安全,这是个问题。”Steve 这样表述了“心脏滴血”漏洞发生的原因。

虽然,在《到底谁在捍卫我们的隐私?OpenSSL 的真实故事》中,作者这样写道:

“OpenSSL 公布‘心脏出血’漏洞的过程也非常有问题。一般出现严重漏洞的流程,是先不对公众公布,立即通知主流操作系统维护者和相关厂商,让大家先修改,之后一起发布安全公告和升级。之所以这样做,是因为如果操作系统不去打补丁,很多普通用户知道漏洞也没办法修补,反而让黑客们更容易利用这些漏洞。OpenSSL 不是这么做的,在 Google 告知了他们漏洞之后,OpenSSL 没有告知任何一家操作系统厂商,反而奇怪的被几家主要 CDN 厂商知道了,也就是说,在不知道哪个环节发生了泄密。之后开源社区中开始有关于这个重大 Bug 的传言,直到这个时候,几大操作系统仍然没得到正式通知。又过了 3 天,OpenSSL 才告知了Red Hat……”

在那三天里,OpenSSL 到底发生了什么?

Tim 称:“据我所知,心脏滴血事件是由两个团队互不知情的情况下独立发现的。我只对我们所作出的反应负责,对其他公司没办法负责。当时这个漏洞是非常严重的危险级别,我们所采取的措施也是当时认为合理的措施。整个过程中谁做了什么、谁发现了什么漏洞,这都是公开的,可以在我们的网站上查得到。”

出了这么大的事情,Steve说,对于一个人手有限的团队来讲日子确实不好过。一个看上去本来籍籍无名的团队瞬间火了,Steve 的好朋友,甚至连他的牙医都关心地询问:“最近老在电视上看到你,要不要紧?”

那一段时间,OpenSSL 倍感压力,收到了很多批评的声音,他们如履薄冰,担心未来可能重蹈覆辙,但也收到了一些鼓励的反馈。让 Steve 觉得温暖的是,一些他甚至都没听过名字的非洲国家都发来了鼓励的邮件,以前团队不太关注的中国也发来了“令人鼓舞的信息”。

“除了扩展到有 4 个全职员工的团队,一些 OpenSSL 的成员尽管有自己本职工作,但是他们的公司会鼓励他们做一些 OpenSSL 的工作,这些公司以间接的方式给我们提供了支持。我们还收到数百个中国人以及锤子科技、华为这两个中国企业给我们的资助,我们收到中国的资助要比其他任何一个国家都多。” Steve 说。

此后则是 OpenSSL 的复苏。

这个团队经历了重建,从系统上还了之前欠下的技术债。这些技术债是指一些之前没有进行很好的重构与精减的代码,后来又不断加入新代码和功能,OpenSSL 做了梳理和筛减,尽可能让内部结构变得不透明,他们有了新代码库,第一次重要审计也是在这个期间完成。

此前,还有诟病 OpenSSL 团队管理混乱的声音, Steve称,情况得到了改善,现在OpenSSL 有 14 位 “贡献者”和 10 位管委会成员,其中有 8 名是身兼两职。

  • 相关推荐
  • 大家在看
  • 安信证书:申请免费SSL证书?别被“免费”蒙蔽双眼

    大部分企业网站和个人站长,已经认识到给网站安装SSL证书升级为HTTPS协议的重要性。作为国内领先的网站HTTPS解决方案提供商,安信证书专注提供SSL证书的申请和安装。但发现不少用户在咨询时开口便是有没有免费的SSL证书类似的问题,觉得还是有必要说一说这事儿。有没有免费的SSL证书?有。而且互联网上搜索相关内容就有超过上千万条结果。但你以为这些服务商都是做慈善的吗?俗话说,天上不会无故掉馅饼!天下没有免费的午餐。这是

  • 西部数码年中钜惠:云服务器1.6折起,域名5元起,SSL证书5折购

    它来了它来了!西部数码的618年中大促带着满满的诚意和优惠终于来啦!不必等到6月18日,也不必计算复杂的满减折上折,活动规则简单明了,产品优惠实实在在。今天起,即可参与西部数码618云钜惠——超多爆款限量抢,2核2G云服务器3年仅需999元!买代金券获赠20%京东购物卡!活动时间:2020年6月5日—6月19日活动入口:https://www.west.cn/active/20618/爆款产品限时抢购区活动期间,新用户(从未购买过西部数码主机产品且完成实名?

  • Serverless架构的前世今生

    一、Serverless简介云计算的不断发展,涌现出很多改变传统IT架构和运维方式的新技术,而以虚拟机、容器、微服务为代表的技术更是在各个层面不断提升云服务的技术能力,它们将应用和环境中很多通用能力变成了一种服务。但无论这些技术应用在哪里,帮助企业“降本增效”是技术变革永恒的主题。Serverless架构的出现,带来了跨越式的变革。Serverless下主机管理、操作系统管理、基础软件的部署运维、资源分配和扩缩容能力全部由云厂?

  • 和平精英SS8赛季手册寻宝行动全攻略 SS8赛季手册寻宝行动教程

    ​和平精英SS8赛季手册寻宝行动是新增的玩法,在其中可以获得非常多的奖励,但是一些玩家还不清楚怎么去玩寻宝行动,下面就来为大家分享一下和平精英SS8赛季手册寻宝行动全攻略。

  • 和平精英SS8赛季手册全部奖励汇总 SS8赛季手册皮肤奖励一览

    ​和平精英的SS8赛季手册马上就要上线了,很多玩家还不清楚此次S8的赛季手册有什么内容,所以今天就来为大家分享一下和平精英SS8赛季手册全部奖励汇总。

  • 美瑞时(MRISSTIME)发展历程

    美瑞时(MRISSTIME)是世界著名制表品牌之一,隶属于瑞士瑞时集团,瑞士瑞时集团创立于1978年,总部位于洛桑。集团旗下围绕世界名品钟表收藏及高雅格调文化生活方式交流的全球瑞时会俱乐部100余家,服务于全球近500万VIP客户。自19世纪中叶,Ammann家族开始从事钟表制造及收藏,拥有独立的制表企业及顶级腕表收藏艺术廊、钟表博物馆。Ammann家族所坚持的理念,为品牌开创独树一帜的视野,并留下经典隽永的传世作品。直到今天,美瑞时(MRISSTIM

  • 女神异闻录4黄金版全boss攻略汇总 P4G全boss战详细攻略

    女神异闻录4黄金版中boss的数量还是非常多的,一些boss等级和人格面具等级没达到的话就会很难打,下面就来为大家分享一下女神异闻录4黄金版全boss攻略汇总。

  • 手表品牌推荐| ISSEY MIYAKE三宅一生今夏最佳搭配

    腕表作为身份和品位的一个象征,其品牌和设计的重要性自然不言而喻,手表品牌推荐标准也不再像以前只认品牌,还要考虑产品本身的设计和品质。在当下这个普遍追热潮,出门就撞款的腕表市场环境下,不仅腕表设计缺乏新意,腕表品质和价格也往往难以让人满意,少有品牌能够保证手表的颜值与性价比兼顾。而在这几点上,ISSEY MIYAKE三宅一生做到了,不是在它享有盛誉的服装领域,而是ISSEY MIYAKE三宅一生手表品牌得到了行业和消费者的

  • 安芯网盾获得华为技术认证证书

    近日,安芯网盾内存保护系统V3. 0 与华为Stack8.0(鲲鹏)、鲲鹏云服务完成兼容性认证,并获得华为技术认证证书,这也意味着安芯网盾内存保护系统全面适配X86、ARM架构以及部分国产化系统。 华为云具备从芯片到服务器到云平台的全栈自主创新能力,软硬件深度协同使华为云鲲鹏云服务涵盖裸机、容器等不同形态,具备多样的计算能力,并保持开放的架构,更好地满足客户不同场景的需求, 目前华为云鲲鹏的行业解决方案集中在对安全有特?

  • 手表品质之选:ISSEY MIYAKE三宅一生1/6系列手表

    最近,国产职场剧频频刷屏,从收割一片好评的《欢乐颂》、《都挺好》、《前半生》再到最近毁誉参半的《安家》、《完美关系》。这些电视剧都反映出我国女性意识觉醒的趋势,但很遗憾,国产剧中所塑造的独立女性的形象仍是远不比CBS老牌美剧《傲骨之战》来的立体。 《The Good Fight(傲骨之战)》这部剧以戴安(Diane)、卢卡(Lucca)和玛娅(Maia)三个不同年龄段的女律师为主角,聚焦独立女性对于自己过往生活的自省和新生和探?

  • 内存新锐ZADAK首次转战SSD:性能、外观都没得挑

    ZADAK这个品牌大家可能还不太熟悉,此前专注于高性能内存,现在第一次转战SSD固态硬盘,而且出手不凡,首款产品“SPARK PCIe Gen 3x4 M.2 RGB SSD”从外观设计到规格性能都非常出色。

  • 携程BOSS直播13场总GMV破5亿元

    6月11日消息,昨日晚间,携程BOSS梁建章亮相西安W酒店。他COS成“秦始皇”,与COS成“历代帝王将相”的携程高管天团,一起为旅游复苏“带货”。梁建章COS成“秦始皇” 与美女直播助理“王母娘娘” 据统计,当晚观众达329万,比平日多50%;单场GMV创纪录地破9017万元,几乎是平日的一倍;至此,“携程BOSS直播”13场总GMV破5亿。直播中,携程的一众高管也是玩的很嗨。梁建章化身秦始皇:“西安是丝路起点。很多动物例如

  • 金士顿发烧级SSD出新:2TB豪华容量加入

    金士顿的内存和SSD在国内市场常稳坐出货前几名,深受消费者的认可。日前,金士顿高端NVMe SSD产品线KC2500系列新增2TB容量版本,并且已经开始出货。不过,价格尚未公布,目前国行1TB为1399元。

  • ISS呼吁特斯拉股东选掉董事长:领导能力不行

    特斯拉董事长罗宾·丹霍姆凤凰网科技讯 北京时间6月16日消息,当地时间星期一,代理顾问公司ISS呼吁特斯拉股东在下个月的年度股东大会上选掉董事长罗宾·丹霍姆(Robyn Denholm)。ISS称,丹霍姆领导能力堪忧,例如,董事薪酬没有合理理由连续多年高企,任职期间部分董事、高管股权质押大幅攀高。丹霍姆自2018年11月起担任特斯拉董事长,也是董事会审计和薪酬委员会成员。ISS称,“大量股权质押引发了对审计委员会有效审查公司风险

  • 闪存33年来最大革命 铠侠提晶圆级SSD新技术

    东芝是NAND闪存的发明人,1987年推出了全球首个NAND芯片,迄今已经33年了。如今继承东芝衣钵的是铠侠存储,他们提出了一种大胆的SSD技术——晶圆级SSD,不再需要做什么外壳、PCB、接口

  • 华为开源数据库能力 开放openGauss数据库源代码

    今日,华为正式宣布开源数据库能力,开放openGauss数据库源代码,并成立openGauss开源社区,社区官网(opengauss.org)同步上线。

  • 苹果推出SSD Kit:Mac Pro可自行升级8TB硬盘

    除了给Macbook Pro笔记本增加了AMD的Radeon RX 5600M显卡之外,苹果还给Mac Pro电脑推出了一个小工具——SSD Kit,可以让用户自行升级SSD容量,最高8TB,售价还没公布。苹果的Mac P

  • 心情如坐过山车!索尼PS5再次官宣:最强主机SSD硬盘

    关于新一代PlayStation游戏主机PS5的消息这个月可谓是过山车一般,先是宣布该机将于6月4日发布,随后马上又被通知延期,就在大家还未从遗憾中醒过神来,近日索尼官方又再度宣布,PS5线上发布活动定于北京时间6月12日凌晨4点举行。同时,有外媒还带来了该机在硬盘方面的更多细节。据外媒透露,索尼此次在SSD硬盘上花费了大量心血,采用PCIe 4.0和12通道架构,速度高达5.5GB/s(压缩数据速度可达9GB/s),比当前的桌面级P

  • 引领潮流,耶鲁家居智能生态系统Yale Access守护居家安全

    从 1840 年涉足银行锁开始, 180 年来,耶鲁始终专注于制锁领域。通过坚持不懈地探索奋斗,耶鲁如今已经构建了完善的家居智能安防系统,包括锁芯、保险箱或挂锁,以及智能家庭安全产品,如报警器、室内和室外摄像头、连接和独立智能锁的丰富的产品矩阵,产品组合高达数百万之众,是当下全球毋庸置疑的智能锁巨头。 但耶鲁并没有放下前进的步伐。在互联网时代的浪潮下,耶鲁再度站在时代的前列。即将上市的YaleAccess正是耶鲁在万

  • 蚂蚁庄园今日答案 人特别难过时会觉得心痛真的是心脏在痛吗

    2020年7月2日,今天是周四,支付宝的蚂蚁庄园小课堂的问题非常的有趣,问题是“人特别难过时会觉得心痛,真的是心脏在痛吗?”相信每个人都经历过难过心痛,但是说心痛是真的心脏痛吗?下面就来为大家科普一下正确的答案。

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议