黄冈 调查 厅局 图片站 问政 桂刊
政务 社会 体育 通讯员 娱乐 爆料
红豆社区 红豆村 博客 漫画  3C  交友 汽车 保险
红豆相亲 房产 健康 理财 会展 商城 新知 游戏
柳州 梧州 防城港 
玉林 百色 北海  
 
OpenSSL重大漏洞曝光:影响雅虎等多家网站
http://jcaixiaoning.com.cn  2020-03-25 01:40:45  

  新浪科技讯 北京时间4月9日早间消息,OpenSSL一个名为“Heartbleed”的漏洞周一曝光。利用这一漏洞,攻击者可以获取用户的密码,或欺骗用户访问钓鱼网站。目前已有业内人士表示,利用这一漏洞获得了雅虎用户的密码。

  OpenSSL是一款开源软件,被广泛用于在线通信的加密。HeartBeat漏洞能够泄露服务器内存中的内容,而这其中包含了一些最敏感的数据,例如用户名、密码和信用卡号等隐私数据。此外,攻击者可以获得服务器数字密钥的拷贝,从而模仿这些服务器,或是对用户通过服务器的通信进行解密。

  这一信息安全漏洞尤为严重。如果希望修复这一漏洞,那么网站将被迫进行大幅调整,此外任何使用OpenSSL的用户都必须修改密码,因为这些密码可能已被窃取。由于越来越多人依赖在线服务,并在多个网站中重复使用同一密码,因此这将带来大问题。

  信息安全公司Fox-IT的罗纳德·普林斯(Ronald Prins)通过Twitter表示:“我们已通过Heartbleed漏洞获得了雅虎的一个用户名和密码。”而另一名开发者斯科特·加洛维(Scott Galloway)表示:“运行Heartbleed脚本5分钟时间,就获得了雅虎电子邮箱的200个用户名和密码。”

  雅虎周一晚些时候宣布,已修复了主要网站的这一漏洞。目前雅虎主页、雅虎搜索、雅虎邮箱、雅虎财经、雅虎体育、雅虎食品、雅虎科技、Flickr和Tumblr等网站上的漏洞已经修复,而雅虎正在解决其他网站的问题。不过雅虎并未告知用户应当采取什么措施,以及这一漏洞对用户造成了什么影响。

  加密学专家菲利普·瓦尔索达(Filippo Valsorda)发布了一款工具,帮助用户检查网站上是否存在Heartbleed漏洞。这一工具显示,谷歌、微软、Twitter、Facebook、Dropbox和其他多家网站都没有这一问题,但雅虎不在其中。测试中出现问题的其他网站还包括Imgur、OKCupid和Eventbrite等。

  这一漏洞的正式名称为CVE-2014-0160。漏洞影响了OpenSSL的1.0.1和1.0.2测试版。OpenSSL已经发布了1.0.1g版本,以修复这一问题,但网站对这一软件的升级还需要一段时间。不过,如果网站配置了一项名为“perfect forward secrecy”的功能,那么这一漏洞的影响将被大幅减小。该功能会改变安全密钥,因此即使某一特定密钥被获得,攻击者也无法解密以往和未来的加密数据。(维金)


相关阅读:
https://www.wiki8.com/casighq/8812.html https://www.wiki8.com/casighq/8812.html
请选择您看到这篇新闻时的心情
0
0
0
0
0