作者:彭科峰 来源:中国科学报 发布时间:2014-4-23 8:28:07
选择字号:
专家解读网络安全漏洞“心脏出血”:威胁暂难消
 
■本报记者 彭科峰
 
回放:
 
日前,网络安全协议OpenSSL被曝光存在安全漏洞(被称为“心脏出血”)。由于该协议常用于电商、网银等安全要求极高的网站,用户访问了受此安全漏洞影响的网站,将无法采取任何自保措施,用户的银行账号、密码等数据将可能被黑客获取。
 
发现该漏洞的安全公司Codenomicon和谷歌公司的安全工程师表示,当今最热门的两大网络服务器Apache和nginx都使用OpenSSL,这两种服务器约占全球网站总数的三分之二。
 
据报道,支付宝、淘宝网、360应用、微信公众号、QQ邮箱、微信网页版、12306铁路客服中心等网站均存在此漏洞。消息曝光后,国内大多数网站在3天内均宣布修复完毕。
 
疑问:
 
OpenSSL到底存在什么样的安全漏洞?黑客如何利用这一漏洞获取用户信息?用户该如何防范?
 
解答:
 
“OpenSSL是为网络通信提供安全及数据完整性的一种安全协议,囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议,在各大网银、在线支付、电商网站、门户网站、电子邮件等许多重要网站上广泛使用。此次的‘心脏出血’事件,影响非常大,短期内难以消除其产生的威胁。”近日,信息安全国家重点实验室常务副主任林东岱告诉《中国科学报》记者。
 
他进一步表示,具体来说,用户在使用电脑连入互联网访问某个网站时,需要进行验证才能实现“握手”,OpenSSL正是起到这样的功能。此外,开发者为方便他人,将OpenSSL整理成一个代码库,对外界开发源代码。在这样的情况下,任何人都能利用这些代码开发程序和软件。此次发现的漏洞英文为“heartbleed”,“不是OpenSSL有什么问题,而是这个‘heartbleed’代码出了问题”。
 
那么,“heartbleed”代码究竟是怎样被黑客利用的呢?林东岱介绍说,这一代码是用来测验网络连接是否畅通的代码,在用户试图连入某个网站时,电脑会通过这个代码向对方网站发出测试信号,查看通讯渠道是否畅通。对方网站会通过该代码返回一些程序给用户电脑。在这个信息返回的过程中,可能会有一些对方网站储存在内存中的其他信息返回给用户。这些信息包括其他访问该网站的用户的账号、密码等很多不该被返回的信息。在这样的情况下,黑客可远程读取该网站服务器的随机64k内存,从而获取他人的隐私。
 
普通用户如何识别自己访问的网站是否存在“心脏出血”漏洞呢?林东岱认为,简单来说,网民可以查看网站应用是否采用SSL加密,即留意浏览器地址栏是http://还是https://,一般以https://访问的网站就是用SSL加密的。事实上,采用OpenSSL安全协议的,通常是非常关键的网络服务,比如网络邮箱、支付、银行等。
 
360网站卫士工程师董方向《中国科学报》记者介绍说,经过进一步分析,他们发现OpenSSL漏洞不仅影响https开头的网址,还影响到间接使用了OpenSSL代码的产品和服务,比如VPN、邮件系统、FTP工具等产品和服务,甚至涉及到其他一些安全设施的源代码。“可以说,OpenSSL漏洞的危害远远超乎人们的想象,其后遗症也将持续很长一段时间。”
 
对于董方的分析,林东岱表示认可。“从表面来看,这些涉及到该漏洞的网站,只要安装相应的安全补丁就可以了。但实际上,‘心脏出血’漏洞引发的后续效应不可能在短期内解决。”
 
他分析说,这是由于OpenSSL代码库的开源性造成的。“因为是开源的,所以很多开发者会利用它的代码来开发其他很多别的软件,一般网友识别不出来。而这些软件也可能存在这样的漏洞,需要开发者逐一查证和补漏。这是一项非常浩大的工程。”
 
林东岱建议,针对这一网络安全事故,网民应加强对个人隐私的保护,尽量避免将账号、密码等储存在服务器的内存中。
 
《中国科学报》 (2014-04-23 第4版 综合)
 
 打印  发E-mail给: 
    
 
以下评论只代表网友个人观点,不代表科学网观点。 
SSI ļʱ
相关新闻 相关论文

图片新闻
我们的太阳系未来会怎样 气候变化下的植树造林方案
中科院电工所研制世界最高磁场超导磁体 科学家完成太阳风迄今最佳研究
>>更多
 
一周新闻排行 一周新闻评论排行
 
编辑部推荐博文
 
论坛推荐