安全协议并不安全 OpenSSL出现重大安全漏洞

435retr

2014年4月8日，微软宣称将不再为WindowsXP提供技术支持，当大多数人在忧虑如何保护个人电脑安全时，OpenSSL却爆出本年度最严重的安全漏洞！无论用户电脑多么安全，只要登陆的网站使用了存在漏洞的OpenSSL版本，就可能被黑客实时监控到登录账号和密码。

OpenSSL是什么？

SSL（安全套接层）协议是使用最为普遍的网站加密技术，URL 中使用 https 打头的连接都采用了 SSL 加密技术。OpenSSL 则是开源的 SSL 套件，是为网络通信提供安全及数据完整性的一种安全协议，它通过一种开放源代码的SSL协议，实现网络通信的高强度加密。

这也就是说，OpenSSL的存在，就是一个多用途的、跨平台的安全工具，由于它非常安全，所以被广泛地用于各种网络应用程序中。Lifehacker指出，全球大约66%的网络使用OpenSSL加密数据。

Heartbleed，当前互联网最危险的漏洞

DNSPod安全专家表示，Heartbleed 漏洞之所以得名，是因为用于安全传输层协议（TLS）及数据包传输层安全协议（DTLS）的 Heartbeat 扩展存在漏洞。该漏洞发生在OpenSSL对TLS的心跳扩展（RFC6520）的实现代码中，由于遗漏了一处边界检查，使攻击者无需任何特权信息或身份验证，就能够从内存中读取请求存储位置之外的多达64 KB的数据，可能包含证书私钥、用户名与密码、聊天消息、电子邮件以及重要的商业文档和通信等数据。

利用Heartbleed漏洞，黑客坐在自己家里电脑前，就可以实时获取到很多以https开头网址的用户登录账号密码，虽然目前此漏洞影响多少网站我们并不能给出准确数字，但是我们经常访问的支付宝、淘宝、微信公众号、YY语音、陌陌、雅虎邮件、网银、门户等各种网站，基本上都被爆出了问题。而在国外，受到波及的网站也数不胜数，就连大名鼎鼎的NASA（美国航空）也在其中。

如何应对Heartbleed漏洞带来的危害？

由于本次Heartbleed漏洞目前已经影响波及大量互联网公司。操作系统公司正在向他们的客户提供OpenSSL补丁。到目前为止,固定Linux操作系统包括:CentOS，Debian，Fedora，Red Hat，openSUS，Ubuntu，SUSE Linux Enterprise Server(SLES)没有影响。

使用OpenSSL的用户可以升级到最新版本OpenSSL 1.0.1g修复该漏洞，无法立即升级的用户可以以-DOPENSSL_NO_HEARTBEATS开关重新编译OpenSSL，1.0.2-beta版本的漏洞将在beta2版本修复。

用户网上交易之前，可通过http://filippo.io/Heartbleed/检测网站是否存在该漏洞，如果被标为红色就暂时不要登录。