TA的每日心情 | 怒 6 天前 |
---|
签到天数: 2261 天 [LV.Master]伴坛终老
|
7 `' N+ c* I, X& H' Z: f 4月9日消息,据华尔街报道,许多网站使用的OpenSSL安全协议存在漏洞,可能导致大量隐藏数据被盗取。据谷歌和网络安全公司Codenomicon的研究人员透露,OpenSSL加密代码中一种名为Heartbleed的漏洞存在已有两年之久。三分之二的活跃网站均在使用这种存在缺陷的加密协议。他们指出可使用的补丁,网站可用以自我保护以及维护用户的安全。
5 ~4 B! N3 j" s. m7 ] R5 S1 q# K9 V+ N3 ^1 z
包括主页和邮箱在内的数个雅虎网站也存在这种安全漏洞。雅虎发言人今日表示,“我们的团队已经成功地完成雅虎各个网站的修复。”5 w1 F) `( ?" Y2 E2 [
8 n& O( m2 {" p9 L2 K3 k/ {一些零售商表示,在雅虎修复漏洞之前,他们能够获得雅虎的用户名和密码。' y, Z0 R. V2 a) C* y( T3 Z
. F( i n/ q5 G+ b9 u6 g$ v @
网络安全公司Qualys的一名研究员伊万•瑞斯提克(Ivan Ristic)创建了一种测试网站是否存在Heartbleed漏洞的工具。工具发布当天,他的网页访问量增加了7倍。他估计,使用SSL的服务器中,有30%存在漏洞。
* {* K+ y v8 q* W/ g% h2 v+ Z& e" s! M' R( N( n. ^8 E
经瑞斯提克的工具测试显示,许多大型网站,如谷歌、亚马逊、eBay等网站较安全,未受到这种漏洞的影响。
7 n; Z) w# G2 c1 \4 h+ z. P4 ~* {) O. d0 `5 M! w. \
越来越多的网站使用加密代码来保护如用户名、密码和信用卡号等数据,这能够防止黑客通过网络盗取个人信息。" e. W5 V* Q4 q% M/ }
5 U5 s" P8 \# ?* Y
这种加密协议被称为SSL(Secure Sockets Layer安全套接层)或TLS(Transport Layer Security Protocol安全传输层协议)。当一个网站使用这种安全协议,浏览器中的地址栏旁会出现挂锁图标。
1 N& t& d P4 N. _9 L7 A5 a7 n; X" X8 }! N. O
编写加密代码十分复杂,所以很多网站使用一种开源的免费安全协议,即OpenSSL。如亚马逊,该公司在其网站上建议,云计算服务Amazon Web Services的用户在为网页加密时使用OpenSSL。但有关OpenSSL漏洞的消息爆出后,亚马逊对记者的置评请求未立即回应。! r9 u8 B$ n0 Y/ c9 D5 k) ^% U4 u
" x; _7 H+ \6 A) ?
3 t& _$ w9 S3 J
OpenSSL存在的缺陷在于,使用某些最新OpenSSL版本的Web服务器会存储一些不受内存保护的数据。黑客可以获取这些数据,重建有关用户或密钥的信息,进而监视过去或将来的加密数据。
. k7 ~0 e9 c& B$ M% S; |3 H* c: ?- f0 K& L
一名研究员表示,“任何人都可以利用这种漏洞在互联网上获取数据,而且场地不限,我可以在自己的办公室,也可以在其他国家实现数据的盗用。”
~7 j; B3 O( C/ z# z0 y" _0 A2 J1 U. r6 B
OpenSSL漏洞的消息一出,许多网站措手不及,未能及时采取补救措施。
) p& W* n- }; J( n9 ]' U y0 n7 h; V1 a9 y0 P
旨在保护互联网用户身份的Tor Project公司总裁罗杰·丁格勒戴(Roger Dingledine)表示, “接下来几天各个网站开始着手修复漏洞,为了确保个人信息或隐私不被窃取,这段时间最好完全不用互联网。”(惜辰) |
|