安全

  |  手机版

收藏网站

投稿QQ:1745232315

IT专家网,汇聚专业声音 解析IT潮流 IT专家网,汇聚专业声音 解析IT潮流

网络

专家视点在现场环球瞭望
IT专家网 > 安全

Heartbleed工程师:这是一场“意外”

作者:ZDNet出处:论坛2014-04-16 13:15

  在过去的几天里,Heartbleed漏洞已经对安全行业和Web服务造成了很大影响。但是,与事故相关的程序员却表示,这是一场意外。

  Heartbleed是一个影响OpenSSL 1.0.1和 1.0.2的加密漏洞,1.0.1在网页和大量流行的Web服务上使用得很多。从理论上说,该漏洞是用于查看跨HTTP,显著安全的信息,通常在浏览器的地址栏中,用一个小小的锁来表示。

  存在安全风险的数据,包括密码,密钥,详细的金融信息,个人身份信息等——都可以让黑客潜入,删除数据,而且不留痕迹。

  Bruce Schneier在其安全博客上写道:“本质上,一个黑客一次可以从一台服务器抓取到64K内存。这种攻击不留痕迹,而且可以重复多次。这意味着,内存中的任何信息——SSL密钥,用户密钥——都不安全。 而且你不得不假设一切信息都被偷取了。是一切信息。所以这是灾难性的。如果要从1到10来评级的话,可以将此评为11级。”

  OpenSSL程序员Robin Seggelmann告诉《悉尼早报》的Herald,称不安全的代码会呆滞Heartbleed漏洞,此OpenSSL项目中,他提交的且由其他程序员检查过的一些地方就出现了这种情况。

  这些代码被额外的编程方式提炼过了,目的是加密协议,然后由上百万的网站来使用,就是这些看着挺靠谱的代码出现了漏洞,原因是“在一个包含长度的变量上缺乏验证。”Seggelmann和其他检查代码的人都没有注意到缺失的验证,因此,代码最终从开发者手中到了加密软件里。

  这名德国软件开发员否认这个安全漏洞是精心安排的,他告诉公众,OpenSSL中的这个错误是“不起眼的”,但影响却“十分严重。”

  Seggelmann提到,有人试图用阴谋论来解释这个漏洞,特别是在前NSA员工斯诺登曝出全球政府的监控行为之后。同时,他承认,也有可能情报部门在过去两年中已经知晓这个漏洞,并对其进行利用,但这个漏洞并非“有意而为。”Seggelmann称:

  “在这个案例中,这个漏洞只是新特性编写中出现的编程错误,不幸的是这个错误出现在安全相关的部分。它根本不是刻意留下的漏洞,更何况,我自己以前还修复过OpenSSL漏洞,而且当时打算贡献给这个项目。”

  许多网站都修复了这个安全漏洞,包括Facebook,YouTube,Tumblr,Reddit和Instagram。你可以用LastPass的Heartbleed检查器来查看自己喜爱的Web服务是否仍然存在这个漏洞,一旦这些公司修复好漏洞,建议你最好更换一下你的服务密码。

相关文章

关键词:OpenSSL漏洞 解决方案

责任编辑:李荣欣

网警备案