美國新聞網站Vox周二撰文，對當天公布的OpenSSL“心臟出血”漏洞進行了全面解讀。以下為文章全文：

什么是SSL？

SSL是一種流行的加密技術，可以保護用戶通過互聯網傳輸的隱私信息。當用戶訪問Gmail.com等安全網站時，就會在URL地址旁看到一個“鎖”，表明你在該網站上的通訊信息都被加密。

這個“鎖”表明，第三方無法讀取你與該網站之間的任何通訊信息。在后臺，通過SSL加密的數據只有接收者才能解密。如果不法分子監聽了用戶的對話，也只能看到一串隨機字符串，而無法了解電子郵件、Facebook帖子、信用卡賬號或其他隱私信息的具體內容。

SSL最早在1994年由網景推出，1990年代以來已經被所有主流瀏覽器采納。最近幾年，很多大型網絡服務都已經默認利用這項技術加密數據。如今，谷歌、雅虎和Facebook都在使用SSL默認對其網站和網絡服務進行加密。

什么是“心臟出血”漏洞？

多數SSL加密的網站都使用名為OpenSSL的開源軟件包。本周一，研究人員宣布這款軟件存在嚴重漏洞，可能導致用戶的通訊信息暴露給監聽者。OpenSSL大約兩年前就已經存在這一缺陷。

工作原理：SSL標準包含一個心跳選項，允許SSL連接一端的電腦發出一條簡短的信息，確認另一端的電腦仍然在線，并獲取反饋。研究人員發現，可以通過巧妙的手段發出惡意心跳信息，欺騙另一端的電腦泄露機密信息。受影響的電腦可能會因此而被騙，并發送服務器內存中的信息。

該漏洞的影響大不大？

很大，因為有很多隱私信息都存儲在服務器內存中。普林斯頓大學計算機科學家艾德·菲爾騰(Ed Felten)表示，使用這項技術的攻擊者可以通過模式匹配對信息進行分類整理，從而找出密鑰、密碼，以及信用卡號等個人信息。

丟失了信用卡號和密碼的危害有多大，相信已經不言而喻。但密鑰被盜的后果可能更加嚴重。這是是信息服務器用于整理加密信息的一組代碼。如果攻擊者獲取了服務器的私鑰，便可讀取其收到的任何信息，甚至能夠利用密鑰假冒服務器，欺騙用戶泄露密碼和其他敏感信息。

誰發現的這個問題？

該漏洞是由Codenomicon和谷歌安全部門的研究人員獨立發現的。為了將影響降到最低，研究人員已經與OpenSSL團隊和其他關鍵的內部人士展開了合作，在公布該問題前就已經準備好修復方案。

誰能利用“心臟出血”漏洞？

“對于了解這項漏洞的人，要對其加以利用并不困難。”菲爾騰說。利用這項漏洞的軟件在網上有很多，雖然這些軟件并不像iPad應用那么容易使用，但任何擁有基本編程技能的人都能學會它的使用方法。

當然，這項漏洞對情報機構的價值或許最大，他們擁有足夠的基礎設施來對用戶流量展開大規模攔截。我們知道，美國國家安全局(以下簡稱“NSA”)已經與美國電信運營商簽訂了秘密協議，可以進入到互聯網的骨干網中。用戶或許認為，Gmail和Facebook等網站上的SSL加密技術可以保護他們不受監聽，但NSA卻可以借助“心臟出血”漏洞獲取解密通訊信息的私鑰。

雖然現在還不能確定，但如果NSA在“心臟出血”漏洞公之于眾前就已經發現這一漏洞，也并不出人意料。OpenSSL是當今應用最廣泛的加密軟件之一，所以可以肯定的是，NSA的安全專家已經非常細致地研究過它的源代碼。

有多少網站受到影響？

目前還沒有具體的統計數據，但發現該漏洞的研究人員指出，當今最熱門的兩大網絡服務器Apache和nginx都使用OpenSSL。總體來看，這兩種服務器約占全球網站總數的三分之二。SSL還被用在其他互聯網軟件中，比如桌面電子郵件客戶端和聊天軟件。

發現該漏洞的研究人員幾天前就已經通知OpenSSL團隊和重要的利益相關者。這讓OpenSSL得以在漏洞公布當天就發布了修復版本。為了解決該問題，各大網站需要盡快安裝最新版OpenSSL。

用戶應當如何應對該問題？

不幸的是，如果訪問了受影響的網站，用戶無法采取任何自保措施。受影響的網站的管理員需要升級軟件，才能為用戶提供適當的保護。

不過，一旦受影響的網站修復了這一問題，用戶便可以通過修改密碼來保護自己。攻擊者或許已經攔截了用戶的密碼，但用戶無法知道自己的密碼是否已被他人竊取。

河南億恩科技股份有限公司(www.artduck.net)始創于2000年，專注服務器托管租用，是國家工信部認定的綜合電信服務運營商。億恩為近五十萬的用戶提供服務器托管、服務器租用、機柜租用、云服務器、網站建設、網站托管等網絡基礎服務，另有網總管、名片俠網絡推廣服務，使得客戶不斷的獲得更大的收益。
服務器/云主機 24小時售后服務電話：0371-60135900
虛擬主機/智能建站 24小時售后服務電話：0371-55621053
網絡版權侵權舉報電話：0371-60135995
服務熱線：0371-60135900