揭穿七種關(guān)于“心臟出血”的謠傳

2014-04-16 18:02:24來源:開源中國作者:

一個代碼上的失誤導(dǎo)致大量在線服務(wù)商出現(xiàn)安全問題,人們也因為“心臟出血”而處于緊張狀態(tài)。上周,這場危機震驚了世界。并且許多新的報告帶給人們的僅僅是更多的恐慌。許多錯誤的信息正在彌漫。讓我們來上一堂真相課

一個代碼上的失誤導(dǎo)致大量在線服務(wù)商出現(xiàn)安全問題,人們也因為“心臟出血”而處于緊張狀態(tài)。上周,這場危機震驚了世界。并且許多新的報告帶給人們的僅僅是更多的恐慌。許多錯誤的信息正在彌漫。讓我們來上一堂真相課,看看哪些說法是錯的。

謠傳1:“心臟出血”是一個病毒

OpenSSL bug不是一個病毒。他是一個缺陷,一個被許多網(wǎng)站和服務(wù)器使用的開源加密協(xié)議上的一個純粹的代碼錯誤。

當(dāng)它工作的時候,OpenSSL確保在網(wǎng)絡(luò)通信的時候防止被竊聽。(在網(wǎng)址前有一個“HTTPS”,這個特別的“s”-確保了安全的形式的通信)。

因此,“心臟出血”是一個bug,一個被意外揭開的安全漏洞,這使得其他人能監(jiān)視網(wǎng)絡(luò)通信和登陸事件,同樣也能竊取可信數(shù)據(jù)和其他記錄。

\

謠傳2:這個Bug僅影響網(wǎng)站

對于服務(wù)器和路由器都潛在著巨大的安全影響,這允許大量數(shù)據(jù)被泄露。同樣地,網(wǎng)站,在線服務(wù)器以及網(wǎng)絡(luò)服務(wù)器都存在風(fēng)險,但是那只是潛在的目標。

當(dāng)客戶端是你的手機,筆記本,其他設(shè)備等連接網(wǎng)絡(luò)的時候,風(fēng)險就存在了,且增長很快,這被叫做“心臟出血的逆轉(zhuǎn)”。這意味著被存儲在這些設(shè)備上的信息將能夠被竊取。

“客戶端內(nèi)存僅在進程運行的時候被分配內(nèi)存,因此,就不可能獲取所有進程的訪問權(quán),但是,你的E-mail內(nèi)容文本,文檔和登陸密碼還有有可能被竊取,”Codenomicon—the Finnish 公司的CEO David Chartier說。

未經(jīng)授權(quán)的賬戶以及那些系統(tǒng)設(shè)定的訪問對于智能家居尤其令人不安。類似于SmartThings和Revolv公司生產(chǎn)的智能設(shè)備,同樣 Zonoff公司的powering Staples Connect智能家居系統(tǒng)和iControl,還有Warner Cable, ADT, Comcast, Cox, Rogers等等。

SmartThings 和Revolv已經(jīng)在為他們的軟件打補丁。iControl明確告訴我們沒有使用OpenSSL。到發(fā)稿為止,Zonoff沒有發(fā)表什么評論。

(更新說明:Zonoff 一直在使用OpenSSL,但是公司明確告訴ReadWrite,他們已經(jīng)有效地更新了服務(wù)器,從而修補了漏洞。)

謠傳3:黑客能利用“心臟出血”遠程控制你的手機

迄今為止,黑客沒有渠道直接通過使用“心臟出血”控制你的智能手機。再次聲明,現(xiàn)在比較危險的是存在內(nèi)存中數(shù)據(jù),因為這些設(shè)備在短期內(nèi)不能打補丁。在Android 4.1.1中,谷歌將會為其打上補丁。而近期,IOS也把安全問題列在了首位,這些如果都可能的話,IPhone和Android對“心臟出血”將是免疫的。

當(dāng)然,這些手機上的應(yīng)用可能又是另一回事了。黑莓認為,在IOS和Android上的BBM是易受攻擊的。但是,攻擊者還是不能進入他的內(nèi)存并且使用它,但是他們可以監(jiān)聽到你正在進行中的聊天。(更新說明:黑莓說BBM已經(jīng)更新了。)

謠傳4:Windows XP的用戶厄運難逃,因為微軟已經(jīng)放棄它了

完全錯誤。的確,這個時間點真是不太好。微軟說,“心臟出血”在全國各地引起恐慌的時候,他們已經(jīng)不再提供XP了。但是微軟沒有使用OpenSSL這項技術(shù)。

這對于這個擁有14年歷史的操作系統(tǒng)來說確實是一個大新聞,截至發(fā)稿,仍然有超過四分之一的電腦在使用XP。如果因為這個影響到他們,他們已經(jīng)被困在“心臟出血”中了,他們已經(jīng)沒有希望得到更新了。

事實上所有的Windows用戶,取得被叫做安全通道(Secure Channel (aka SChannel))的安全組件,就不會受到影響。但是,值得注意的是,XP用戶將不會自動得到更新的軟件或者SChannel更新了。

在微軟云服務(wù)Windows Azure上運行Linux的用戶也被排除在外,這些發(fā)行版依賴OpenSSL,因此微軟催促這些用戶聯(lián)系這些發(fā)行版的提供者為他們更新軟件。對于Mac OS X來說,蘋果官方宣布“心臟出血”對其沒有影響。

謠傳5: 因為“心臟出血”我們所有的銀行都會被撬開

安全問題是嚴重的,但是它不能撬開虛擬金庫。實際上,美國的銀行業(yè)的技術(shù)負責(zé)人們報告銀行基本上不受影響。

這些公司宣稱他們不使用OpenSSL,因此他們也不存在風(fēng)險:Bank of America

Capital One Financial,JPMorgan Chase,Citigroup,TD Bank,U.S. Bancorp,Wells Fargo,PNC Financial Services Group。

當(dāng)然,有許多的銀行和信用機構(gòu)沒有在上面的名單中,這也就是為什么聯(lián)邦金融調(diào)查委員會(Federal Financial Institutions Examination Council (FFIEC))催促“金融機構(gòu)應(yīng)該盡快給他們使用OpenSSL的服務(wù)器,系統(tǒng)及其應(yīng)用打補丁,以應(yīng)對所帶來的風(fēng)險”。

此外,CNET的對一些高授權(quán)網(wǎng)站的調(diào)查顯示PayPal沒有受到“心臟出血”的影響,還有那些大型零售商,人們將自己的借記卡或信用卡信息存在那兒也不會收到多大影響。比如:Amazon.com,eBay,Groupon,Target,TripAdvisor,Walmart。

(看起來,他們從去年年底的巨大的安全漏洞中學(xué)到了很多。)

“心臟出血”缺陷不能用來直接撬開銀行或者獲取大型零售商系統(tǒng)上的信息,然而,不能因為這些站點和賬戶沒有受患于這些黑客,就認為他們完全沒有風(fēng)險。

謠傳6:我的站點或服務(wù)器沒有風(fēng)險或者打了補丁,我現(xiàn)在就是安全的。

這樣說是不確切的。“心臟出血”是隱伏的且不留痕跡的。這意味著沒有辦法告訴你,你的信息已經(jīng)被偷。所以仍然存在風(fēng)險。如果你的登錄信息被存儲或者被發(fā)送到其他地方,這就是一個缺口。這里歸結(jié)了幾個方法:你最好去那些受到影響的網(wǎng)站修改你的密碼,但是要在他們打完補丁之后。除此之外,要確保在他們升級完程序之后,你最好檢查你的信用卡,賬戶狀態(tài)以及線上行為記錄沒有出現(xiàn)非官方的條目。

謠傳7:NSA用“心臟出血”竊取我們的信息

引述未具名消息人士,彭博社(Bloomberg)指責(zé)國家安全局(National Security Agency)早已知曉“心臟出血”卻沒有公布。但是,這不是全部。NSA不是簡單的意識到這個bug,還涉嫌利用這個漏洞長達兩年的時間。

鑒于“棱鏡項目”,這很容易就被相信了。甚至在彭博社指責(zé)之前,NSA就高度被懷疑。那個時候,微博上就有大量質(zhì)疑聲。就好像齊聲在說“NSA肯定涉及了此事”。

但是NSA斷然否認了此事。該機構(gòu)說他們沒有這樣做,而且宣布對于這一漏洞是之前就存在是完全不知曉的。

沒有辦法知道NSA是否誠實,而且該機構(gòu)的的可信度確實不高。但是,也沒有證據(jù)說他們利用“心臟出血”去監(jiān)視。因此,就目前而言,這個謠言是站不住腳的。

很難想象任何聯(lián)邦的官方機構(gòu)沒有意識到這么嚴重的安全漏洞。但是,這也并不是沒有可能。就拿加拿大稅務(wù)局(Canada Revenue Agency)來說,這個政府機構(gòu)一直使用OpenSSL,現(xiàn)在他們已經(jīng)臨時關(guān)閉了他們的部分網(wǎng)站服務(wù)器。而下周就是加拿大報稅的截止日期。

你還聽說了哪些關(guān)于“心臟出血”的謠傳,讓我們來一一揭穿他吧。
 

關(guān)鍵詞:心臟出血SSL安全

贊助商鏈接: