近日有研究人員公布，廣為流行的網絡加密軟件OpenSSL存在名為Heartbleed的重大漏洞，人們的賬號密碼、信用卡號碼等個人信息可能會失竊。各大主流網站都在加緊解決這一問題。究竟是什么回事呢?普通網民是否會受到影響呢?國外媒體近日就這類疑問一一進行了詳解。

[[111290]]

何為SSL?

SSL是一流行的加密技術，可保護網絡用戶在互聯網上傳輸的隱私信息。例如，訪問諸如Gmail.com的安全網站時，你會看到URL左側有一綠色的“鎖頭”圖標，它意指你與該網站的通訊受到加密保護。以下是它在谷歌Chrome瀏覽器上的模樣：

該鎖頭表明第三方會無法讀取你收發的任何信息。SSL具體是通過將你的數據轉變成只有接收方才能破譯的加密信息來實現這一點。如果有黑客監聽你的對話，他將只能夠看到隨即字符串，而無法看到你的電郵內容、Facebook帖子、信用卡號碼等私密信息。

SSL是1994年最先由網景(Netscape)推出，自1990年代以來一直面向各款主流瀏覽器。近年來，主流的在線服務也都趨向使用該加密技術。目前，谷歌、雅虎和Facebook對于自家的網站和在線服務全都默認使用SSL加密技術。

何為Heartbleed漏洞?

大多數的SSL加密網站都基于名為OpenSSL的開源軟件包。周一，研究人員公布該軟件存在一個會致使用戶通訊內容泄露的嚴重漏洞。OpenSSL存在這種漏洞已有約兩年時間。

具體來說，SSL標準包含heartbeat選項，讓SSL連接一端的計算機發出短信息來確認另一臺計算機仍處于聯網狀態并獲得回復。研究人員發現，存在發送偽裝的惡意heartbeat信息誘使SSL連接另一端的計算機泄露秘密信息的的可能性。也就是說計算機會被誘使傳輸服務器內存中的內容。

漏洞影響很大嗎?

是的。服務器內存中存儲著大量的私密信息。普林斯頓大學計算機科學家艾德·費爾騰(Ed Felten)指出，使用這種技術的攻擊者會“通過模式匹配整理那些信息，試圖找到密鑰、密碼以及諸如信用卡號碼的個人信息”。

賬號密碼、信用卡號碼失竊的嚴重性無需贅述，而密鑰失竊甚至更加嚴重。密鑰是服務器用以譯出它所接受的加密信息的工具。如果攻擊者獲得服務器的私有密鑰，那他就能讀取任何發送到服務器的信息。他甚至能夠利用密鑰冒充服務器，誘使用戶泄露他們的賬號密碼和其它的敏感信息。

誰發現了漏洞?

是Codenomicon和谷歌安全部門(Google Security)的研究人員獨立發現的。為了最大限度地降低公布漏洞會帶來的損害，研究人員在公布之前先與OpenSSL團隊和其它的關鍵內部人員合作準備好修復方案。

哪些人能夠利用Heartbleed漏洞?

“利用該漏洞對于了解它的人來說并不是很難。”費爾騰透露。利用該漏洞的軟件遍布于網絡上，雖然該軟件沒iPad應用那么好用，但任何有編程基礎的人都會知道怎么使用。

當然，該漏洞也許對于擁有條件大規模攔截用戶流量的情報機構而言最具價值。美國國家安全局(NSA)與美國電信服務提供商有秘密協定，它能夠接入互聯網干線。用戶可能會認為Gmail、Facebook等網站上的SSL加密可以保護他們免受監聽。但Heartbleed漏洞可讓NSA獲得破譯私密通訊所需的私有密鑰。

要是NSA已經在公眾知曉之前發現Heartbleed漏洞的存在，也不會令人驚訝。鑒于OpenSSL是世界上最流行的加密軟件，NSA的安全專家之前很有可能仔細研究過OpenSSL的源代碼。

有多少網站受到影響?

目前還沒有準確的數據，不過發現漏洞的研究人員指出，最流行的兩家網絡服務器Apache 和nginx均使用OpenSSL。二者加起來，共計覆蓋約三分之二的網站。SSL還被其它的網絡軟件所使用，如桌面郵箱客戶端和聊天軟件。

研究人員是在幾天前告知OpenSSL團隊和其他的關鍵利益相關者漏洞情況的。因此，OpenSSL能夠在將漏洞公諸于眾的同時發布OpenSSL軟件的修復版本。要消除漏洞，網站只需要確保它們使用的是OpenSSL最新版本。

雅虎發言人表示，“我們的團隊已經在雅虎的各個主要網站(雅虎主頁、雅虎搜索、雅虎郵箱、雅虎財經、雅虎體育、雅虎美食、雅虎科技、Flickr和Tumblr))上成功完成修復，我們正在針對公司旗下其它的網站實施修復。”

谷歌稱，“我們對SSL漏洞進行了評估，并已修復谷歌的各款主要服務。”Facebook也表示，它在漏洞公布時已經解決好該問題。

微軟發言人則寫道，“我們在跟進OpenSSL庫問題的報告。要是確定它有對我們的設備與服務造成影響，我們會采取必要的措施來保護我們的用戶。”

用戶能怎么解決問題?

很遺憾，用戶要是訪問到采用含漏洞OpenSSL軟件的網站，他們并不能保護自己。有問題的網站升級OpenSSL軟件之后，用戶才能夠得到保護。

不過，受影響的網站修復好OpenSSL軟件問題后，用戶就可以通過更改自己的密碼來保護自己。攻擊者之前可能已經截取了用戶的密碼，費爾騰稱用戶可能無法判斷他們的密碼是否失竊。