打补丁改密码没用,心脏出血漏洞仍未“止血”
作者:星期一, 四月 14, 20141

heartbleed.png

虽然包括淘宝、腾讯、京东、天猫、支付宝等国内各大存在OpenSSL漏洞的网站在第一时间宣布已经修复漏洞,并请用户“放心使用”,安全牛在随后的报道“阿里腾讯宣布修复心脏出血漏洞,你真的可以放心了吗?”一文中曾指出:“心脏出血”漏洞的最重要的桥段就是在中招网站宣布修复漏洞后,用户应当立刻修改密码。但是最新的研究发现心脏出血漏洞远比想象的严重,修复过程将十分漫长和艰难,仅仅修改密码是不够的。

昨天一个让网站系统管理员心脏停跳的消息是,最新证据表明,黑客可以利用heartbleed漏洞获取服务器私有秘钥,这意味着仅仅更新OpenSSL版本并重置用户密码依然无法给heartbleed漏洞“止血”,用户依然可能遭受服务器秘钥丢失导致的钓鱼网站和中间人攻击,除非取消并重新发放私钥和证书,这意味着很多网站之前宣布的“已经修补心脏出血”漏洞的说法并不靠谱,因为heartbleed灾难才刚刚开始。存在过OpenSSL漏洞的网站全部撤销并更换私钥和证书是一个浩大的工程,发起“heartbleed”挑战赛的Cloudfare公司认为,大量互联网站更新证书产生的流量将有可能拖垮CA认证中心。

据统计目前Alex排名前1000且曾存在heartbleed漏洞的网站中,有25%任然在使用不安全的老证书。建议用户和企业安全人士通过Internet-Wide Scan扫描网站的证书发放日期,以下heartbleed bug healt report给出了一个存在heartbleed漏洞同时SSL证书更新日期早于2014年4月1日(红色警告标记)的网站列表,我们可以看到包括有道、163、搜搜、搜狐、搜狗、有道、苏宁易购、豆瓣、苹果、wordpress、华尔街日报等多家国内外知名网站赫然上榜。

关键词:

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章