首页 » 黑客新闻 » 浏览内容

OpenSSL漏洞影响国内上万台网站主机

322 0 发表评论

目前互联网巨头称已升级系统修复漏洞

网购、信息登记、社交……如今,我们的日常生活离不开互联网,但有可能,过去两年里,黑客可以利用通过安全漏洞多次盗取我们的用户登录账号密码。4月8日晚,安全协议OpenSSL爆出本年度最严重的安全漏洞。该安全漏洞被业内称为“心脏流血”。有媒体报道称,已经存在了大约两年了,随后昨日国内各大厂商、互联网企业闻风而动,采取了堵漏洞等相关安全措施。

■新快报记者 陈庆麟

可远程盗取用户账户密码

据了解,OpenSSL是为网络通信提供安全及数据完整性的一种安全协议,囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议,目前正在各大网银、在线支付、电商网站、门户网站、电子邮件等重要网站上广泛使用。该漏洞是由安全公司Codenomicon和谷歌安全工程师发现的,并提交给相关管理机构。

安全专家指出,SSL是一种流行的加密技术,可以保护用户通过互联网传输的隐私信息。它好比互联网上销量最大的门锁。它可以允许处于SSL连接一端的电脑发送短信息,确认另一台电脑仍然在线,并给与回应。但通过被曝光的漏洞,黑客可以通过巧妙的手段发出恶意心跳信息,欺骗另一端的电脑泄露机密信息。

金山毒霸安全专家李铁军表示,这个漏洞使黑客可以远程读取https服务器的随机64KB内存,“只要这个黑客有耐心多捕获多分析那些64KB的数据,用户访问网站的cookies、SSL私钥、账号密码,这些数据全都可能被黑客远程读取到。”

一位安全行业人士在网络问答社区知乎上透露,他在某著名电商网站上用这个漏洞尝试读取数据,在读取200次后,获得了40多个用户名、7个密码,用这些密码,他成功地登录了该网站。

“OpenSSL漏洞堪称网络核弹,”360安全专家石晓虹表示,无论用户电脑多么安全,只要网站使用了存在漏洞的OpenSSL版本,用户登录该网站时就可能被黑客实时监控到登录账号和密码。“建议广大网友,在此漏洞得到修复前,暂时不要在受到漏洞影响的网站上登录账号。”

约2亿网民受波及

据悉,OpenSSL在今年4月7日推出了OpenSSL 1.01g,修复了这个漏洞。但据360网站安全检测平台昨日对国内120万家经过授权的网站扫描,有11440个网站主机受OpenSSL“心脏出血”漏洞影响。另据多个流量监测机构数据推算,4月7日、4月8日,共计约2亿网友访问了存在OpenSSL漏洞的网站。

更为麻烦的是,这个漏洞实际上出现于2012年,至今两年多。这意味着,谁也不知道是否已经有黑客利用漏洞获取了用户资料;而且由于该漏洞即使被入侵也不会在服务器日志中留下痕迹,所以目前还没有办法确认哪些服务器被入侵,也就没法定位损失、确认泄漏信息,从而通知用户进行补救。

各大网站和黑客斗快

据媒体报道,这个漏洞被曝出来后,全球黑客们已经纷纷出动,不停试探各类服务器,试图从漏洞中抓取到尽量多的用户敏感数据。因此,各大网站也争分夺秒地升级系统、弥补漏洞。

对于用户量较多的腾讯和阿里,两大互联网巨头昨日分别在回复新快报记者的声明中均表示,已第一时间进行了修复处理,目前如QQ、微信、支付宝等均可以安全使用。京东方面也表示,系统已全面排查并升级,可以避免这次漏洞的侵袭。

根据安全分析系统ZoomEye的检测报告,截至昨日20点11分,中国12个受影响大站列表中,仅剩YY某服务仍显示未修复状态,其余如微信公众号、QQ邮箱、支付宝、陌陌、比特币中国等网站均已完成修复。

中国受影响大站列表

12306铁路客户服务中心

微信公众号

微信网页版

QQ邮箱

陌陌

雅虎

比特币中国

支付宝

知乎

淘宝网

360应用

YY某服务

注:据ZoomEye的检测报告,截至昨日22点,除YY某服务仍显示未修复状态,上述网站均已修复。

1

普通网民可以做这些:

注意观察相关事件进展,目前尚无法准确评估黑客利用OpenSSL漏洞获得了多少数据。

2

对重要服务,尽可能开通手机验证或动态密码,比如支付宝、邮箱等,登录重要服务,不仅仅需要验证用户名密码,最好绑定手机,加手机验证码登录。这样就算黑客拿到账户密码,登录还有另一道门槛。

3

如果随着事件进展,可能受累及的网络服务在增加或更明确,建议用户修改重要服务的登录密码。安全专家的建议是,一个密码的使用时间不宜过长,超过3个月就该换掉了。

标签:

评论 共 0 条 (RSS 2.0) 发表 评论

  1. 暂无评论,快来抢沙发!

发表评论

  •   没有头像?

关注我们,实时联系

通知公告">更多...

♥如果喜欢本站可以直接点击订阅博客
♥点击此加入晓残博客会员群加入扣群
♥本站免费提供加密解密服务点击解密
♥伙伴们喜欢本站赏个好评呗

关注微信

有偿服务

博客统计

  • 日志总数:475 篇
  • 评论数目:1466 条
  • 标签总数:40 个
  • 页面总数:8 个
  • 分类总数:17 个
  • 友链总数:24 个
  • 建站日期:2011-02-13
  • 运行天数:2120 天
  • 最后更新:2016-12-3

订阅博客