新聞發(fā)布
管理系統(tǒng)OpenSSL被廣泛應(yīng)用于各大網(wǎng)銀、在線支付、電商網(wǎng)站、門戶網(wǎng)站、電子郵件等領(lǐng)域，OpenSSL漏洞確實可能引發(fā)網(wǎng)絡(luò)大亂。
網(wǎng)友“白貓客”：
一直被用來加密的安全協(xié)議竟然有漏洞！OpenSSL今天成了各大媒體報道的對象。到底出現(xiàn)了什么樣的漏洞？OpenSSL又是什么？我要怎么保護自己？
騰訊科技：
據(jù)科技博客網(wǎng)站TechCrunch報道，OpenSSL一直存在漏洞，黑客可以利用該漏洞從服務(wù)器內(nèi)存中竊取64KB數(shù)據(jù)。網(wǎng)友經(jīng)常使用的支付寶、淘寶、微信公眾號、YY語音、陌陌、雅虎郵件、網(wǎng)銀等各種網(wǎng)站，基本上都出了問題。
OpenSSL漏洞確實可能引發(fā)網(wǎng)絡(luò)大亂。
《科技不怕問》特約答題嘉賓：金山網(wǎng)絡(luò)安全專家李鐵軍
OpenSSL是什么？
OpenSSL是為網(wǎng)絡(luò)通信提供安全及數(shù)據(jù)完整性的一種安全協(xié)議，囊括了主要的密碼算法、常用的密鑰和證書封裝管理功能以及SSL協(xié)議，目前正在各大網(wǎng)銀、在線支付、電商網(wǎng)站、門戶網(wǎng)站、電子郵件等重要網(wǎng)站上廣泛使用。
簡單識別網(wǎng)站應(yīng)用是否采用SSL加密，只需要看瀏覽器地址欄是http://，還是https://，以https://訪問的網(wǎng)站就是用SSL加密的。通常是非常關(guān)鍵的網(wǎng)絡(luò)服務(wù)，比如郵箱、支付、銀行。
OpenSSL心臟出血漏洞
這個漏洞是國外黑客首先曝光的，這個漏洞使黑客可以遠程讀取https服務(wù)器的隨機64KB內(nèi)存，這就很恐怖了。用戶訪問網(wǎng)站的cookies、SSL私鑰、帳號密碼，這些數(shù)據(jù)全都可能被黑客遠程讀取到，只要這個黑客有耐心多捕獲多分析那些64KB的數(shù)據(jù)。這個漏洞的英文名為“heartbleed”，直譯“心臟出血”。
危害到底嚴重不嚴重？
有人認為沒這么可怕，因為這是一個舊版本OpenSSL的安全漏洞，開發(fā)者把服務(wù)器程序升級到OpenSSL1.0.1g可以解決。
也有業(yè)內(nèi)專家表示非常擔憂，安天實驗室首席架構(gòu)師江海客認為“這一次，狼真的來了”。在沖擊波病毒出現(xiàn)之前，Windows RPC漏洞被披露，江?？途皖A(yù)言“這個漏洞極其嚴重，一定要密切 注意”。果不其然，沒幾天，沖擊波漏洞就爆發(fā)了，攪得世界不安。
根據(jù)zoomeye系統(tǒng)掃描，中國全境有1601250臺機器使用443端口，其中有33303個受本次OpenSSL漏洞影響！
網(wǎng)站怎么辦？
網(wǎng)站管理員可以使用這個服務(wù)檢查自己的網(wǎng)站是否存在威脅：http://filippo.io/Heartbleed/
盡快升級OpenSSL到1.0.1g
網(wǎng)民怎么辦？
1.注意觀察相關(guān)事件進展，目前尚無法準確評估黑客利用OpenSSL漏洞獲得了多少數(shù)據(jù)。
2.對重要服務(wù)，盡可能開通手機驗證或動態(tài)密碼，比如支付寶、郵箱等，登錄重要服務(wù)，不僅僅需要驗證用戶名密碼，好綁定手機，加手機驗證碼登錄。這樣就算黑客拿到帳戶密碼，登錄還有另一道門檻。
3.如果隨著事件進展，可能受累及的網(wǎng)絡(luò)服務(wù)在增加或更明確，建議用戶修改重要服務(wù)的登錄密碼。安全專家的建議是，一個密碼的使用時間不宜過長，超過3個月就該換掉了。
