搜索

[22758] 2014-06-10_新的OpenSSL分支未包含Heartbleed漏洞，但需要认真看待

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2014-06-10_新的OpenSSL分支未包含Heartbleed漏洞，但需要认真看待 新 的 O p e n S S L 分 支 未 包 含 H e a r t b l e e d 漏 洞 ， 但 需 要 认 真 看 待 L i n u x 中 国   2 0 1 4 - 0 6 - 1 0 摘 要 ： 当 被 最 新 的 O p e n S S L 安 全 问 题 困 扰 时 ， 你 最 好 解 决 它 ， 虽 然 它 并 不 像 H e a r t b l e e d 那 样 糟 糕 。 这 一 周 对 于 开 源 的 S e c u r e   S o c k e t   L a y e r   （ S S L ） 来 说 真 是 糟 糕 的 一 周 。 首 先 ， G n u T L S 低 调 的 宣 称 ， 存 在 一 个 不 大 但 确 实 存 在 的 缺 陷 。 然 后 ， 大 范 围 流 行 的 O p e n S S L 被 发 现 包 含 一 个 中 间 人 漏 洞 。 在 H e a r t b l e e d 漏 洞 惨 剧 后 ， O p e n S S L 该 醒 醒 了 。 这 个 漏 洞 ， 根 据 谷 歌 高 级 软 件 工 程 师 A d a m   L a n g l e y 描 述 ， 已 经 至 少 存 在 了 1 5 年 时 间 。 可 惜 C o r e   I n f r a s t r u c t u r e   I n i t i a t i v e ( C I I ) 提 供 了 让 更 多 的 程 序 员 来 拯 救 O p e n S S L 的 资 金 ， 却 尚 未 来 得 及 发 挥 作 用 。 也 就 是 说 这 个 漏 洞 依 然 是 和 H e a r t b l e e d 漏 洞 一 样 糟 糕 。 对 于 一 些 新 手 ， 攻 击 者 需 要 在 系 统 和 浏 览 器 或 其 它 启 用 了 S S L 的 客 户 端 之 间 来 利 用 这 个 安 全 漏 洞 。 尽 管 它 只 是 可 能 被 利 用 ， 你 依 然 需 要 尽 可 能 快 的 通 过 升 级 来 解 决 这 个 漏 洞 。 就 像 N T T   C o m   S e c u r i t y 的 评 估 服 务 负 责 人 C h r i s   C a m e j o 在 邮 件 采 访 里 说 的 ， “ 这 很 糟 糕 ， 因 为 已 经 存 在 了 这 么 长 的 时 间 ， 看 起 来 传 播 范 围 相 当 广 泛 。 ” 他 补 充 到 ： “ 如 果 利 用 它 ， 攻 击 者 可 以 解 密 流 量 。 从 S S L 的 设 计 目 的 看 ， 这 是 一 个 很 严 重 的 问 题 。 S S L 被 广 泛 地 用 来 在 网 站 和 邮 件 中 保 护 很 多 的 密 码 ， 信 用 卡 卡 号 和 其 他 的 敏 感 信 息 。 ” 在 另 外 一 个 采 访 中 ， R e d   H a t 的 产 品 安 全 高 级 负 责 人 M a r k   C o x 详 细 深 入 地 介 绍 了 细 节 。 C o x 说 ， O p e n S S L 已 修 正 了 一 些 安 全 缺 陷 ， 但 是 我 们 需 要 想 办 法 告 诉 人 们 不 要 因 为 H e a r t b l e e d 而 陷 入 恐 慌 。 C o x 解 释 说 ， H e a r t b l e e d 漏 洞 在 公 布 之 前 得 到 了 修 补 ， 但 利 用 此 漏 洞 的 消 息 在 修 补 程 序 之 前 传 开 ， 因 此 在 这 个 问 题 上 招 致 了 许 多 抱 怨 。 最 新 的 情 况 ， 已 有 七 个 安 全 问 题 得 到 了 修 补 ， 但 其 中 只 有 两 项 需 要 管 理 员 和 用 户 的 关 注 。 C o x 继 续 说 道 ， 第 一 个 ， 是 数 据 报 传 输 层 安 全   ( D T L S ) 的 b u g 。 到 目 前 为 止 ， 还 没 有 已 知 的 攻 击 ， 但 是 存 在 针 对 它 攻 击 成 功 的 潜 在 性 。 因 此 ， 虽 然 D T L S 使 用 不 广 泛 ， 如 果 您 确 实 在 使 用 它 ， 它 应 尽 快 修 补 。 C o x 然 后 说 ， “ 这 个 问 题 的 实 际 上 是 中 间 人 攻 击 ” 。 实 际 上 ， 真 的 要 有 个 “ 在 中 间 的 ” 人 ， 来 利 用 易 受 攻 击 的 服 务 器 和 客 户 端 之 间 的 漏 洞 。
但 如 果 有 人 真 的 这 样 做 到 了 ， 他 们 就 能 “ 绕 过 S S L 并 拿 到 原 始 数 据 . . . 这 是 一 个 相 当 严 重 的 问 题 ” 。 但 是 ， 如 同 从 理 论 上 讲 任 何 人 都 可 以 利 用 H e a r t b l e e d 漏 洞 来 攻 击 S S L 服 务 器 。 攻 击 并 利 用 此 漏 洞 需 要 能 接 触 到 客 户 端 和 服 务 器 之 间 的 通 信 网 络 。 例 如 ， 成 功 的 攻 击 可 能 需 要 架 设 一 个 假 的 公 开 W i - F i 接 入 点 ， 才 能 攻 击 到 使 用 这 个 W I F I 的 A n d r o i d 版 本 的 C h r o m e 网 络 浏 览 器 与 未 安 装 修 补 程 序 的 W e b 服 务 器 之 间 的 S S L 通 讯 。 幸 运 的 是 ， 谷 歌 已 经 发 布 了 更 新 的 版 本 的 浏 览 器 ， 3 5 . 0 . 1 9 1 6 . 1 4 1 ， 以 消 除 此 问 题 。 C o x 继 续 说 ， 最 易 受 攻 击 的 系 统 是 未 安 装 修 补 程 序 的 A n d r o i d 设 备 使 用 一 个 假 的 W i - F i 接 入 点 。 M o r r e l l 补 充 说 因 为 A n d r o i d 用 户 并 没 有 被 他 们 的 手 机 供 应 商 和 电 信 公 司 重 视 ， 安 全 漏 洞 更 新 前 他 们 可 能 会 受 漏 洞 影 响 相 当 长 的 时 间 。 幸 运 的 是 ， 如 果 他 们 用 连 接 的 服 务 器 已 经 更 新 ， 他 们 也 不 会 受 到 攻 击 。 O p e n S S L 安 全 社 区 自 5 月 初 以 来 已 经 知 道 这 个 问 题 。 社 区 与 R e d   H a t 、 其 他 主 要 L i n u x 和 开 源 社 团 和 硬 件 供 应 商 ， 要 解 决 这 个 问 题 ， 不 只 是 简 单 修 补 b u g ， 而 且 要 测 试 修 复 ， 以 便 他 们 可 以 确 认 漏 洞 已 经 修 复 ， 大 家 都 已 经 安 全 了 ， 而 没 有 引 入 任 何 新 的 安 全 问 题 ， 并 可 在 大 多 数   O p e n S S L 服 务 器 和 客 户 端 的 组 合 上 工 作 。 现 在 ， 这 个 补 丁 已 经 有 了 ， O p e n S S L 试 着 通 过 补 丁 解 决 安 全 缺 陷 ， 向 公 众 表 明 对 这 些 问 题 不 必 有 任 何 不 必 要 的 恐 慌 。 C o x 补 充 说 ， 主 要 的 L i n u x 供 应 商 ， 如 R e d   H a t 和 U b u n t u ， 已 经 有 可 用 的 修 补 程 序 。 所 有 的 管 理 员 都 需 要 给 服 务 器 下 载 并 安 装 补 丁 ， 而 不 是 放 任 安 全 漏 洞 。 v i a :   h t t p : / / w w w . z d n e t . c o m / n e w - o p e n s s l - b r e e c h - i s - n o - h e a r t b l e e d - b u t - n e e d s - t o - b e - t a k e n - s e r i o u s l y - 7 0 0 0 0 3 0 2 7 3 / 译 者 ： l o l i p o p   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 本 文 地 址 ： h t t p : / / l i n u x . c n / a r t i c l e - 3 1 6 9 - 1 . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理