OpenSSL出血漏洞的完整综述

‍‍最近由网络安全社区讨论的影响安全性的最大问题是Heartbleed漏洞，该漏洞于4月7日被外国黑客暴露. 根据Vox网站，来自Codenomicon和Google安全部门的研究人员发现了该漏洞. OpenSSL的源代码，它可能使攻击者能够获取服务器上64K内存中的数据内容. 该漏洞由于具有破坏性和广泛的影响，在中国已被翻译为“ OpenSSL出血漏洞”.

OpenSSL出血漏洞的一般原则是，OpenSSL引入了心跳机制来维持2年前TLS链接的长期存在. 心跳机制是作为TLS的扩展实现的，但是包括TLS（TCP）和DTLS（UDP）不会检测边界，因此攻击者可以利用此漏洞在对等方（服务器或客户端）的内存中获取一些数据）的TLS链接，每次至少16KB，从理论上讲最大可以获取64KB.

OpenSSL是一种安全协议，可为网络通信提供安全性和数据完整性. 它包括主要的加密算法，常用的密钥和证书封装管理功能以及SSL协议. 大多数使用SSL加密的网站都使用称为OpenSSL的开源软件包. 由于这也是Internet上使用最广泛的安全传输方法，因此它被重要的网站（例如，银行，支付，电子商务网站，门户网站和电子邮件）广泛使用，因此该漏洞的范围很广.

密歇根大学的一个安全研究团队使用开源网络扫描工具ZMap搜索具有Heartbleed漏洞的网站. 研究人员完全扫描了地址空间. 截至4月10日下午2: 00，Alexa排名前100万的网站中有32％支持SSL，支持HTTPS的网站中有9％具有漏洞，有31.9％的安全地支持OpenSSL TLS Heartbeat Extension，59％不支持HeartbeatExtension （即安全），这意味着在漏洞爆发时，全球排名前100万的网站中有40.9％. 全球首例攻击通知. 加拿大证实，流血造成了900名纳税人的社会安全号码被盗，系统中的攻击者完全删除了900名纳税人的社会安全号码.

此漏洞对中国有多大影响？在漏洞发生之日，几乎所有国内一线电子商务公司都存在此漏洞. 淘宝最快地修复了它. 解决此漏洞的时间大约是4月8日下午5点，但是在此期间可能会捕获很多数据. 也有一些大型网站，例如Yahoo的登录信息泄漏，网易在8月8日晚上8点才得到修复滴血漏洞，并且一些交易网站泄漏了用户ID，这可能导致伪造交易信息. 爱奇艺直到4月10日晚上才得到修复，但是大多数主流网站都已修复. 因此，OpenSSL出血漏洞也是中国网络安全中的灾难性事件.

此漏洞将向我们泄露哪些信息？我们的网站登录名和密码，在此期间修改的个人隐私信息，在此期间修改的密码保护问题的答案以及邮件服务器上的信息以及电子邮件地址和密码哈希. 许多网站建议用户事后更改密码. 实际上，有些信息与密码一样重要. 例如，还将读取您在此过程中修改的秘密安全信息. 更为安全的措施是我们还修改了一些重要的措施. 机密信息和隐私信息，因为许多网站都相信TLS加密通道. 如果这是一个具有绑定功能的网站，那么麻烦就多了，因为并非所有中国网站都通过了PCI-DSS安全标准. PCI-DSS规定必须以密文形式存储，并且不能保存CVV信息. 如果通过PCI -DSS网站建议至少更改密码和个人信息.

此漏洞的后续影响是什么？

1. 新的攻击方法已经出现. 攻击者可以利用此漏洞窃取受影响网站的用户密码和私钥. 使用易受攻击的OpenSSL版本的网站应废除所有旧的私钥和证书.

2. 服务器的问题是第一波. 下一个要考虑的问题是第三方软件使用有缺陷的OpenSSL. 攻击者将使用此漏洞来获取用户最初希望对其保密的信息. 客户端和服务器上存在的软件也可能存在此漏洞，甚至恶意攻击者也可能使用客户端连接到服务器，服务器对客户端发起攻击以窃取客户端数据.

3. 尽管暴露于外部网络的服务器已及时打补丁，但公司内部网络中的某些服务器已被忽略，并且易于被恶意内部或被入侵的内部网络渗透读取.

4. 一些安全组织甚至正在研究如何利用此漏洞作为虚拟机转义，从而允许真实计算机在虚拟机中远程执行代码，而思想的使用却很奇怪.

我们如何有效地修复此漏洞？最简单，最有效的补丁解决方案是升级到OpenSSL 1.0.1g. 目前，SNORT还发布了相关规则，可用于IDS / IPS拦截，并且有许多第三方CDN流量规则拦截. 但是最新的应用程序是基于TLS加密通道发送的恶意请求，该请求很容易绕过基于网络层的IDS和CDN流量层的规则拦截. 目前，安徽网盾采用加规则来拦截和自动修复基于软件方面的漏洞，有效地保护了服务器的安全性.

实际上滴血漏洞，去年存在类似的严重安全漏洞lucky-13（CVE-2013-0169），它影响了过去10年中的所有TLS实施. 许多版本的OpenSSL可以完全还原为纯文本. 幸运的是，该漏洞难以使用，并且该应用程序尚未发布. Openssl还发布了1.0.1e来修复此漏洞. 但是大多数服务器已经升级，并且许多网关设备仍使用具有此漏洞的版本.

OpenSSL出血漏洞也引起了国内安全社区的广泛讨论:

1. 此漏洞是由两年前OpenSSL引入心跳机制以维持TLS链接的长期存在引起的.

2. 这个漏洞的位置实际上通过了包括Qualys在内的OpenSSL社区中供应商的代码审核和模糊测试，但未发现任何问题. 当然，它在经过模糊测试后不会崩溃并且无法测量.

3. 有人推测此漏洞的示例可能是来自SOC的NETFLOW审核. 谁的“ SOC”最强大？似乎除了BIGBROTHER之外没有其他人了. 当然，这个消息已被美国国家安全局拒绝.

FreeBuf还对如何停止下一次出血有看法.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-227967-1.html