大公網(wǎng)4月10日訊 綜合外電9日報道：從美國亞馬遜、雅虎，到中國淘寶、微信，全球眾多互聯(lián)網(wǎng)公司周二緊急應(yīng)對最新發(fā)現(xiàn)的互聯(lián)網(wǎng)漏洞“心血”(Heartbleed)。安全專家們說，“心血”可能是互聯(lián)網(wǎng)安全史上最致命一擊：利用該漏洞，黑客可實時獲取很多https開頭網(wǎng)址的用戶登錄帳號密碼，涉及購物、網(wǎng)銀、微博微信、郵箱等知名網(wǎng)站。目前已有業(yè)內(nèi)人士表示，利用這一漏洞獲得了雅虎用戶的密碼。

看到某個網(wǎng)站網(wǎng)址用了https開頭，就是採用了SSL安全協(xié)議。而OpenSSL，則是為網(wǎng)絡(luò)通信提供安全及數(shù)據(jù)完整性的一種安全協(xié)議，囊括了主要的密碼算法、常用的密鑰和證書封裝管理功能以及SSL協(xié)議，并提供了豐富的應(yīng)用程序供測試或其他目的使用。換言之，OpenSSL是互聯(lián)網(wǎng)上銷量最大的鎖，是旨在保證互聯(lián)網(wǎng)通訊安全的一種加密協(xié)議。而在周一，這把鎖出現(xiàn)了“核彈級”的漏洞“心血”。

5分鐘破200用戶密碼

“心血”影響了互聯(lián)網(wǎng)的許多方面，因為全球兩大網(wǎng)絡(luò)服務(wù)器Apache和nginx都使用OpenSSL。這兩種服務(wù)器約佔全球網(wǎng)站總數(shù)的三分之二。據(jù)中國ZoomEye網(wǎng)站統(tǒng)計，全中國有33303個受本次OpenSSL漏洞影響。

安全專家們稱，“心血”漏洞實際上讓黑客能夠獲得服務(wù)器的密鑰，而該密鑰用于加密通過互聯(lián)網(wǎng)傳遞的信息。黑客也可能會潛入服務(wù)器內(nèi)存，一次盜走64千字節(jié)(byte)的數(shù)據(jù)包。只要有足夠的耐心，黑客就可以獲取足夠多的數(shù)據(jù)，拼湊出訪問網(wǎng)站用戶的用戶名及密碼等。

在漏洞公開后，信息安全公司Fox-IT的普林斯就通過Twitter表示：“我們已通過‘心血’漏洞獲得了雅虎的一個用戶名和密碼。”而另一名開發(fā)者加洛維表示：“運行‘心血’腳本5分鐘時間，就獲得了雅虎電子郵箱的200個用戶名和密碼。”

內(nèi)地多家大網(wǎng)站中招

在中國，雅虎門戶主頁、微信公眾號、微信網(wǎng)頁版、YY 語言、淘寶、網(wǎng)銀，陌陌等熱門網(wǎng)站均“中招”，只能升級軟件修補(bǔ)漏洞。

星期二，亞馬遜、雅虎、Tumblr和密碼管理公司LastPass等企業(yè)都表示在給OpenSSL軟件打上最近發(fā)布的補(bǔ)丁。美國聯(lián)邦調(diào)查局(FBI)稱其採用了內(nèi)容分發(fā)網(wǎng)絡(luò)服務(wù)，并表示其伙伴已經(jīng)給產(chǎn)品打上了補(bǔ)丁。微軟的發(fā)言人說：微軟正密切關(guān)注有關(guān)OpenSSL安全漏洞的報道，如果他們認(rèn)定此事給設(shè)備和服務(wù)帶來了影響，他們將採取必要措施保護(hù)客戶。谷歌的發(fā)言人說，該公司已對SSL的弱點進(jìn)行了評估，并對關(guān)鍵服務(wù)發(fā)布了補(bǔ)丁程序。

少登陸https開頭網(wǎng)站

不過安全問題研究人員認(rèn)為，僅僅對OpenSSL軟件打補(bǔ)丁并不能奏效。Venafi公司的赫德森說，人們尚未認(rèn)識到，除非更改所有密鑰和證書，否則仍然很容易受到攻擊。

對于不幸訪問了受影響網(wǎng)站的普通網(wǎng)民，專家建議，在未來一兩天內(nèi)，盡量少登陸以https開頭的網(wǎng)站，并盡可能少用內(nèi)地網(wǎng)銀服務(wù)，避免自己的帳號密碼被黑客竊取。如果在近期登陸過，就考慮更換密碼，以策安全。與此同時，密切關(guān)注個人財務(wù)報告，因為黑客有可能獲取服務(wù)器內(nèi)存取的信用卡信息，所以要關(guān)注銀行月結(jié)單中的異常扣款。