搜索

[7975] 2014-04-22_HeartBleed漏洞：血淋淋的外表下却是一片祥和

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-17
2014-04-22_HeartBleed漏洞：血淋淋的外表下却是一片祥和 H e a r t B l e e d 漏 洞 ： 血 淋 淋 的 外 表 下 却 是 一 片 祥 和 F r e e B u f   2 0 1 4 - 0 4 - 2 2 作 者   小 禾 才 露 尖 尖 角 5 4 最 近 最 近 H e a r t   b l e e d 漏 洞 在 互 联 网 上 掀 起 了 轩 然 巨 波 ， 作 为 基 础 安 全 软 件 的 重 大 漏 洞 ， 影 响 深 远 ， 各 大 互 联 网 公 司 、 甲 漏 洞 在 互 联 网 上 掀 起 了 轩 然 巨 波 ， 作 为 基 础 安 全 软 件 的 重 大 漏 洞 ， 影 响 深 远 ， 各 大 互 联 网 公 司 、 甲 方 、 乙 方 、 白 帽 子 甚 至 央 视 等 媒 体 全 都 行 动 起 来 ， 同 仇 敌 忾 ， 竞 相 测 试 、 打 补 丁 、 升 级 、 报 道 宣 传 方 、 乙 方 、 白 帽 子 甚 至 央 视 等 媒 体 全 都 行 动 起 来 ， 同 仇 敌 忾 ， 竞 相 测 试 、 打 补 丁 、 升 级 、 报 道 宣 传 … … ， 大 家 忙 得 ， 大 家 忙 得 不 亦 乐 乎 ， 给 广 大 网 民 很 好 地 科 普 了 一 把 信 息 安 全 。 不 亦 乐 乎 ， 给 广 大 网 民 很 好 地 科 普 了 一 把 信 息 安 全 。 与 沸 沸 扬 扬 的 互 联 网 安 全 相 比 ， 物 理 隔 绝 的 企 业 、 政 府 等 封 闭 网 络 似 乎 显 得 静 悄 悄 ， 关 心 和 了 解 该 漏 洞 的 人 估 计 屈 指 可 数 ， 采 取 的 行 动 也 一 定 没 有 互 联 网 来 得 热 烈 。 因 为 封 闭 ， 表 面 上 没 有 乱 七 八 糟 的 威 胁 ， 也 没 有 技 艺 高 超 的 黑 帽 子 和 白 帽 子 测 试 带 来 的 压 力 ， 封 闭 网 络 的 网 管 们 一 定 没 有 动 力 加 班 熬 夜 在 第 一 时 间 补 上 漏 洞 。 而 这 种 情 况 ， 也 绝 不 是 第 一 次 出 现 。 不 同 于 开 放 的 互 联 网 ， 物 理 隔 绝 的 封 闭 网 络 没 有 那 么 多 的 用 户 、 没 有 那 么 多 的 应 用 、 没 有 讨 厌 的 黑 帽 子 和 白 帽 子 。 然 而 ， 这 并 不 代 表 封 闭 网 络 高 枕 无 忧 ， O p e n s s l 作 为 基 础 的 安 全 库 ， 很 可 能 在 操 作 系 统 、 w e b 应 用 、 设 备 远 程 配 置 、 甚 至 应 用 安 全 网 关 中 广 泛 涉 及 。 由 于 缺 乏 在 光 天 化 日 之 下 的 考 验 ， 缺 乏 与 攻 击 者 的 共 同 进 化 ， 封 闭 网 络 存 在 的 安 全 漏 洞 与 开 放 网 络 相 比 一 定 过 之 而 无 不 及 。 因 此 ， 对 于 封 闭 网 络 的 安 全 ， 首 先 需 要 有 可 控 的 “ 邪 恶 ” 力 量 对 其 内 部 进 行 渗 透 性 测 试 ， 就 像 猫 和 老 鼠 的 共 同 进 化 一 样 ， 封 闭 网 络 的 防 护 也 不 能 没 有 “ 天 敌 ” 。 至 少 ， 封 闭 网 络 应 该 对 照 已 公 开 的 漏 洞 ， 对 其 进 行 弥 补 ， 这 是 封 闭 网 络 安 全 的 底 线 。 遗 憾 的 是 ， 现 实 中 ， 有 的 封 闭 网 络 可 能 连 这 条 底 线 都 无 法 满 足 ， 却 要 追 求 所 谓 的 “ 自 主 可 控 ” ， 殊 不 知 ， 缺 乏 审 查 和 考 验 的 私 有 设 计 更 不 值 得 信 任 。 除 了 在 威 胁 发 作 第 一 时 间 打 补 丁 、 堵 漏 洞 、 升 级 特 征 库 以 外 ， 封 闭 网 络 的 安 全 还 应 该 注 重 基 于 白 名 单 的 控 制 方 式 ， 如 对 用 户 进 行 认 证 授 权 、 对 终 端 进 行 准 入 控 制 、 对 应 用 进 行 分 发 管 理 … … ， 非 白 即 黑 ， 没 被 允 许 的 即 默 认 禁 止 。 这 也 是 许 多 封 闭 网 络 通 常 所 采 用 的 。 然 而 ， 这 里 面 仍 然 存 在 着 两 大 难 题 。 首 先 是 白 名 单 的 管 理 问 题 ， 终 端 和 用 户 的 白 名 单 尚 可 解 决 ， 难 得 的 是 应 用 ， 现 代 操 作 系 统 之 上 的 应 用 可 谓 汗 牛 充 栋 ， 一 旦 封 闭 网 络 的 规 模 和 用 户 大 到 一 定 程 度 ， 几 乎 无 法 对 应 用 实 施 白 名 单 ， 这 也 不 是 技 术 上 的 难 题 ， 难 得 是 安 全 与 业 务 可 用 的 平 衡 。 更 难 的 还 是 白 名 单 的 判 断 问 题 ， 何 为 白 ？ 合 法 用 户 、 合 法 终 端 、 合 法 应 用 真 的 就 值 得 信 任 吗 ？ 一 次 判 断 以 后 是 否 就 可 以 高 枕 无 忧 ， 这 里 的 关 键 还 在 与 对 其 异 常 的 持 续 检 测 ， 内 部 人 员 作 恶 、 合 法 终 端 和 应 用 带 有 的 0 d a y ， 特 别 是 在 A P T 的 大 背 景 下 ， 高 价 值 的 封 闭 网 络 几 乎 难 以 幸 免 攻 击 ， 这 更 需 要 对 在 封 闭 网 络 中 获 取 各 种 信 息 进 行 精 准 分 析 。 D A R P A 的 主 动 认 证 项 目 根 据 用 户 内 部 网 络 中 的 行 为 如 敲 键 方 式 、 软 件 操 作 习 惯 、 甚 至 在 面 对 异 常 时 的 反 映 来 对 用 户 进 行 持 续 的 认 证 ， 甚 至 有 望 取 代 C A C 认 证 卡 和 口 令 ， 这 应 该 是 封 闭 网 络 安 全 的 发 展 方 向 。
最 后 ， 由 于 漏 洞 总 是 客 观 存 在 ， 封 闭 网 络 作 为 高 价 值 目 标 ， 难 以 做 到 防 护 的 万 无 一 失 ， 转 而 应 该 借 鉴 可 靠 性 的 一 些 设 计 思 想 ， 瞄 准 在 遭 受 攻 击 后 关 键 业 务 仍 然 可 用 为 目 标 ， M i t r e 将 这 方 面 的 设 计 思 想 称 之 为 网 络 空 间 弹 性 C y b e r   R e s i l i e n c y 。 冗 余 、 跳 变 （ 动 态 目 标 防 御 ） 、 关 键 系 统 的 分 割 、 虚 拟 化 、 沙 盒 、 对 攻 击 的 重 定 向 、 非 持 续 的 提 供 服 务 ， 都 是 具 体 的 弹 性 机 制 ， 这 是 高 价 值 封 闭 网 络 安 全 的 另 一 发 展 方 向 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理