互聯網巨頭稱已升級系統修復漏洞

　　網購、信息登記、社交……如今,我們的日常生活離不開互聯網,但有可能,過去兩年里,黑客可以利用通過安全漏洞多次盜取我們的用戶登錄賬號密碼。4月8日晚,安全協議OpenSSL爆出本年度最嚴重的安全漏洞。該安全漏洞被業內稱為“心臟流血”。有媒體報道稱,已經存在了大約兩年了,隨后昨日國內各大廠商、互聯網企業聞風而動,采取了堵漏洞等相關安全措施。

 

　　可遠程盜取用戶賬戶密碼

　　據了解,OpenSSL是為網絡通信提供安全及數據完整性的一種安全協議,囊括了主要的密碼算法、常用的密鑰和證書封裝管理功能以及SSL協議,目前正在各大網銀、在線支付、電商網站、門戶網站、電子郵件等重要網站上廣泛使用。該漏洞是由安全公司Codenomicon和谷歌安全工程師發現的,并提交給相關管理機構。

　　安全專家指出,SSL是一種流行的加密技術,可以保護用戶通過互聯網傳輸的隱私信息。它好比互聯網上銷量最大的門鎖。它可以允許處于SSL連接一端的電腦發送短信息,確認另一臺電腦仍然在線,并給與回應。但通過被曝光的漏洞,黑客可以通過巧妙的手段發出惡意心跳信息,欺騙另一端的電腦泄露機密信息。

　　金山毒霸安全專家李鐵軍表示,這個漏洞使黑客可以遠程讀取https服務器的隨機64KB內存,“只要這個黑客有耐心多捕獲多分析那些64KB的數據,用戶訪問網站的cookies、SSL私鑰、賬號密碼,這些數據全都可能被黑客遠程讀取到。”

　　一位安全行業人士在網絡問答社區知乎上透露,他在某著名電商網站上用這個漏洞嘗試讀取數據,在讀取200次后,獲得了40多個用戶名、7個密碼,用這些密碼,他成功地登錄了該網站。

　　“OpenSSL漏洞堪稱網絡核彈,”360安全專家石曉虹表示,無論用戶電腦多么安全,只要網站使用了存在漏洞的OpenSSL版本,用戶登錄該網站時就可能被黑客實時監控到登錄賬號和密碼。“建議廣大網友,在此漏洞得到修復前,暫時不要在受到漏洞影響的網站上登錄賬號。”

 

　　約2億網民受波及

　　據悉,OpenSSL在今年4月7日推出了OpenSSL 1.01g,修復了這個漏洞。但據360網站安全檢測平臺昨日對國內120萬家經過授權的網站掃描,有11440個網站主機受OpenSSL“心臟出血”漏洞影響。另據多個流量監測機構數據推算,4月7日、4月8日,共計約2億網友訪問了存在OpenSSL漏洞的網站。

　　更為麻煩的是,這個漏洞實際上出現于2012年,至今兩年多。這意味著,誰也不知道是否已經有黑客利用漏洞獲取了用戶資料;而且由于該漏洞即使被入侵也不會在服務器日志中留下痕跡,所以目前還沒有辦法確認哪些服務器被入侵,也就沒法定位損失、確認泄漏信息,從而通知用戶進行補救。

 

　　各大網站和黑客斗快

　　據媒體報道,這個漏洞被曝出來后,全球黑客們已經紛紛出動,不停試探各類服務器,試圖從漏洞中抓取到盡量多的用戶敏感數據。因此,各大網站也爭分奪秒地升級系統、彌補漏洞。

　　對于用戶量較多的騰訊和阿里,兩大互聯網巨頭昨日分別在回復新快報記者的聲明中均表示,已第一時間進行了修復處理,目前如QQ、微信、支付寶等均可以安全使用。京東方面也表示,系統已全面排查并升級,可以避免這次漏洞的侵襲。

　　根據安全分析系統ZoomEye的檢測報告,截至昨日20點11分,中國12個受影響大站列表中,僅剩YY某服務仍顯示未修復狀態,其余如微信公眾號、QQ郵箱、支付寶、陌陌、比特幣中國等網站均已完成修復。

 

　　中國受影響大站列表

 

　　12306鐵路客戶服務中心

 

　　微信公眾號

 

　　微信網頁版

 

　　QQ郵箱

 

　　陌陌

 

　　雅虎

 

　　比特幣中國

 

　　支付寶

 

　　知乎

 

　　淘寶網

 

　　360應用

 

　　YY某服務

 

　　注:據ZoomEye的檢測報告,截至昨日22點,除YY某服務仍顯示未修復狀態,上述網站均已修復。

 

　　1

　　普通網民可以做這些:注意觀察相關事件進展,目前尚無法準確評估黑客利用OpenSSL漏洞獲得了多少數據。

　　2

　　對重要服務,盡可能開通手機驗證或動態密碼,比如支付寶、郵箱等,登錄重要服務,不僅僅需要驗證用戶名密碼,最好綁定手機,加手機驗證碼登錄。這樣就算黑客拿到賬戶密碼,登錄還有另一道門檻。

　　3

　　如果隨著事件進展,可能受累及的網絡服務在增加或更明確,建議用戶修改重要服務的登錄密碼。安全專家的建議是,一個密碼的使用時間不宜過長,超過3個月就該換掉了。