OpenSSL漏洞简述与网络检测防护建议
由于SSL协议是网络加密登陆认证、网络交易等的主流安全协议，而OpenSSL又是主流的SSL搭建平台。因此这些称呼好不为过，建议各网络服务提供者、管理机构和用户高度注意本漏洞的处理情况，希望广大用户做出相应的对策。
2014年4月7日OpenSSL发布了安全公告，在OpenSSL1.0.1版本中存在严重漏洞(CVE-2014-0160)。OpenSSL Heartbleed模块存在一个BUG，问题存在于ssl/dl_both.c文件中的心跳部分，当攻击者构造一个特殊的数据包，满足用户心跳包中无法提供足够多的数据会导致memcpy函数把SSLv3记录之后的数据直接输出，该漏洞导致攻击者可以远程读取存在漏洞版本的OpenSSL
服务器内存中多达64K的数据。
在目前已有的资料中，国内外同行已经称本漏洞为 “击穿心脏”、“毁灭级”、“今年最严重”的漏洞。由于SSL协议是网络加密登陆认证、网络交易等的主流安全协议，而OpenSSL又是主流的SSL搭建平台。因此这些称呼好不为过，建议各网络服务提供者、管理机构和用户高度注意本漏洞的处理情况，希望广大用户做出相应的对策。
OpenSSL受影响版本的分布
根据已经公开的信息，该漏洞影响分布情况如下。
1、OpenSSL 1.0.1f (受影响)
2、OpenSSL 1.0.2-beta (受影响)
3、OpenSSL 1.0.1g (不受影响)
4、OpenSSL 1.0.0 branch (不受影响)
5、OpenSSL 0.9.8 branch (不受影响)
处置建议如下
3.1 针对网络管理员，可以做的事情包括
鉴于本漏洞的严重程度，如果确定本漏洞存在，对一般性的网络服务者，暂停服务进行处置是一种较好的应对策略。
如果确定本漏洞存在，又必须保证服务不能停止，可以在漏洞修补过程中，暂时停止https服务，改用http服务，但这会带来相关认证信息明文传输的风险，具体利害需要做出谨慎的判断权衡。
具体修补方式为：
OpenSSL版本升级到最新的1.0.1g
重新生成你的私钥
请求和替换SSL的证书
责编：李玉琴
微信扫一扫实时了解行业动态
著作权声明：kaiyun体育官方人口 文章著作权分属kaiyun体育官方人口 、网友和合作伙伴，部分非原创文章作者信息可能有所缺失，如需补充或修改请与我们联系，工作人员会在1个工作日内配合处理。
|
最新专题
|
资深技术经理：无线网络设备导致信..
网上邻居九招特殊的应用.doc|
|
