OpenSSL “Heartbleed” 漏洞意味着什么？

来源：互联网

2014/4/10 10:04:29

OpenSSL则是为网络通信提供安全及数据完整性的一种安全协议，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及 SSL 协议，并提供了丰富的应用程序供测试或其它目的使用。

这一漏洞的官方名称为 CVE-2014-0160.该漏洞影响了 OpenSSL 1.0.1 版至 1.0.1f 版。而 1.0.1 之前更老的版本并没有受到影响。OpenSSL 已经发布了 1.0.1g 版本，以修复这一问题，但网站对这一软件的升级还需要一段时间。不过，如果网站配置了一项名为“perfect forward secrecy”的功能，那么这一漏洞的影响将被大幅减小。该功能会改变安全密钥，因此即使某一特定密钥被获得，攻击者也无法解密以往和未来的加密数据。

如何应对该漏洞？

个人用户防御建议：

各个网站修复这个漏洞都可能需要 1-3 天的时间，有些反应较为迅速的网站如淘宝，微信等可能修复的更快。只要等有漏洞的网站修复完成就能登陆了。当然，若还是不放心，你还可以点击这里或者点击这里查看自己要登陆的网站是否安全。对已经不小心登陆过这些网站的用户，可以修改一下密码。

除此之外，密切关注未来数日内的财务报告。因为攻击者可以获取服务器内存中的信用卡信息，所以要关注银行报告中的陌生扣款。

企业防御建议：升级到最新版本OpenSSL 1.0.1g.无法立即升级的用户可以以-DOpenSSL_NO_HEARTBEATS开关重新编译OpenSSL.而1.0.2-beta版本的漏洞将在beta2版本修复。当然，升级后别忘记提醒用户更改密码、提醒云服务使用者更新SSL密钥重复证书。

责编：李玉琴