科技 > 互聯(lián)網(wǎng) > 正文
字號(hào):大 中 小
OpenSSL再曝安全漏洞 國內(nèi)超10萬網(wǎng)站或受影響
- 發(fā)布時(shí)間:2016-03-04 08:07:00 來源:京華時(shí)報(bào) 責(zé)任編輯:王磊
早前的“心臟出血”漏洞事件的余悸未消,開源的加密工具OpenSSL又被曝出漏洞。昨天記者了解到,OpenSSL發(fā)現(xiàn)一個(gè)嚴(yán)重漏洞——DROWN漏洞(水牢漏洞),可能影響部分使用HTTPS的服務(wù)器及網(wǎng)站。慶幸的是,這一次漏洞的危害還達(dá)不到“心臟出血”的程度。
全球大量網(wǎng)站受影響
據(jù)介紹,水牢漏洞可以允許攻擊者破壞使用SSLv2協(xié)議進(jìn)行加密的HTTPS網(wǎng)站,利用該漏洞,攻擊者可以監(jiān)聽加密流量,讀取諸如密碼、信用卡賬號(hào)、商業(yè)機(jī)密和金融數(shù)據(jù)等加密信息。經(jīng)國外相關(guān)機(jī)構(gòu)初步探測(cè)識(shí)別,目前全球有大約400萬網(wǎng)站和服務(wù)器受此漏洞的影響。360網(wǎng)絡(luò)攻防實(shí)驗(yàn)室經(jīng)初步統(tǒng)計(jì),我國有109725個(gè)網(wǎng)站可能受到此漏洞的影響。
HTTPS是一種Web瀏覽器與網(wǎng)站服務(wù)器之間傳遞信息的協(xié)議,該協(xié)議以加密形式發(fā)送通信內(nèi)容。SSLv2實(shí)際上是一種版本很老的協(xié)議,OpenSSL已經(jīng)建議禁用。不過,因?yàn)樯杏胁簧儆脩暨€在使用低版本的瀏覽器,如IE6,這些瀏覽器只能支持SSLv2,因此一些提供網(wǎng)絡(luò)服務(wù)的企業(yè)還在使用該版本。
事實(shí)上,即便是360這樣專門做安全的互聯(lián)網(wǎng)企業(yè),其部分網(wǎng)站也在使用OpenSSL。不過360公司表示,其在重要的系統(tǒng)中禁止了不安全的加密套件,因此不受“水牢漏洞”影響。
威脅小于“心臟出血”
提起OpenSSL漏洞,讓人印象最深的當(dāng)數(shù)2014年曝出的“心臟出血”(Heartbleed)漏洞。這次的水牢漏洞也讓人擔(dān)心是否又是一次“心臟出血”事件。
360公司安全專家安楊表示,“水牢漏洞”所帶來的危害沒有當(dāng)年“心臟出血”嚴(yán)重。與“心臟出血”直接攻破資料存儲(chǔ)的服務(wù)器不同,“水牢漏洞”需要黑客與被攻擊者在同一個(gè)局域網(wǎng)下,例如入侵對(duì)方所處的WiFi網(wǎng)絡(luò),或者和對(duì)方在一個(gè)公司等,這樣才能獲取到對(duì)方的流量信息。
另外,“水牢漏洞”利用難度較高,需要租用計(jì)算集群并花費(fèi)8個(gè)小時(shí)才能破解密鑰。而租用計(jì)算集群的成本在400美元左右。在這樣的成本下,無目的地攻擊普通個(gè)人用戶,很可能會(huì)得不償失。
慶幸的是,在該漏洞被公開之后,OpenSSL已經(jīng)發(fā)布了官方補(bǔ)丁,只要及時(shí)更新就可以封堵該漏洞。
>>鏈接
“心臟出血”事件
SSL協(xié)議是使用最為普遍的網(wǎng)站加密技術(shù),而OpenSSL則是開源的SSL套件,全世界網(wǎng)站服務(wù)器中有三分之二都是用OpenSSL的軟件。URL中使用https打頭的鏈接都采用了SSL加密技術(shù)。在線購物、網(wǎng)銀等活動(dòng)均采用SSL技術(shù)來防止竊密及避免中間人攻擊。
2014年4月,OpenSSL一個(gè)重大漏洞被曝出,因?yàn)槲:O大,因此該漏洞被稱為“Heartbleed”(心臟出血),以形容其所帶來的致命危險(xiǎn)。
該漏洞讓特定版本的openSSL成為無需鑰匙即可開啟的“廢鎖”,入侵者每次可以翻檢戶主的64K信息,只要有足夠的耐心和時(shí)間,就可以翻檢足夠多的數(shù)據(jù),拼湊出用戶名、密碼和信用卡號(hào)等隱私信息。
更為重要的是,全球大多數(shù)網(wǎng)站都面臨這一漏洞的威脅。在“心臟出血”漏洞被曝出后的一段時(shí)間內(nèi),這就是全球互聯(lián)網(wǎng)行業(yè)內(nèi)最大的事件,很多互聯(lián)網(wǎng)企業(yè)都在忙著修補(bǔ)漏洞,用戶則忙著修改自己的各種密碼。
- 股票名稱 最新價(jià) 漲跌幅
- 祥龍電業(yè) 6.77 10.08%
- 安彩高科 10.18 10.05%
- 傲農(nóng)生物 19.98 10.02%
- 振華股份 15.92 10.02%
- 東軟集團(tuán) 15.94 10.01%
- 世運(yùn)電路 18.15 10.00%
- 天鵝股份 23.65 10.00%
- 七一二 43.81 9.99%
- 愛嬰室 31.60 9.99%
- 西部黃金 21.48 9.98%
- 外媒:滴滴考慮2017年在美國上市
- 千家第三方支付企業(yè)被指無照經(jīng)營
- 人人游戲私有化亂象:138名離職員工的期權(quán)去了哪
- 首例電競直播侵權(quán)案終審宣判:斗魚被判賠110萬元
- 人民日?qǐng)?bào)談小米平衡車傷人:標(biāo)準(zhǔn)缺乏產(chǎn)業(yè)野蠻生長
- 國際反假聯(lián)盟暫停阿里會(huì)員資格 加入一月即被除名
- 微信支付高層地震 騰訊金融戰(zhàn)略層面領(lǐng)跑者缺位
- 慘被拋棄:諾基亞功能機(jī)業(yè)務(wù)被微軟關(guān)閉
- 蘋果投資滴滴背后的秘密 原來10億美元要這么花
- 中概股私有化大潮背后:PE散戶化 VC產(chǎn)業(yè)化