今年4月OpenSSL被爆出互聯(lián)網(wǎng)迄今為止極其嚴(yán)重的安全漏洞“Heartbleed”,這個(gè)被形象翻譯成“心臟出血”的協(xié)議漏洞,黑客們只要稍加利用就可以輕而易舉的獲取Https網(wǎng)址開頭的賬號及密碼,由于Https安全協(xié)議的使用范圍非常廣泛,此漏洞波及網(wǎng)上銀行、網(wǎng)絡(luò)支付、知名購物網(wǎng)站、電子郵件等多種涉及到個(gè)人賬戶和密碼的服務(wù)。漏洞爆出后,各大網(wǎng)站都及時(shí)完成漏洞修補(bǔ)更新,才沒造成大規(guī)模的賬號密碼被盜事件。

    一波未平一波又起,兩個(gè)月后的今天,OpenSSL又被爆出另一項(xiàng)重大漏洞,而且據(jù)相關(guān)技術(shù)人員表明此漏洞已經(jīng)潛伏十六年之久!OpenSSL基金會最近也公開發(fā)布了一項(xiàng)重大建議性公告,建議所有使用OpenSSL協(xié)議的用戶再次對此協(xié)議進(jìn)行全面升級,來修復(fù)一項(xiàng)從前一直未被發(fā)現(xiàn)的漏洞。據(jù)悉,黑客利用這次的漏洞可以竊取任何加密層數(shù)據(jù)。OpenSSL基金會表現(xiàn)的高度緊張,在被爆出漏洞后便立即發(fā)布了補(bǔ)丁,以便減少此漏洞帶來的危害。

    這次的漏洞和“心臟出血”不一樣,“Heartbleed”可以使任何人直接攻擊任何使用OpenSSL協(xié)議的服務(wù)器,而使用這次漏洞的黑客則必須位于兩臺相互聯(lián)系的設(shè)備之間。雖然如此,但是該漏洞同樣是個(gè)巨大的隱患。比如我們在公共場合使用公共網(wǎng)絡(luò)的時(shí)候,就非常容易中招。特別是一些使用安卓設(shè)備的用戶得注意了。由于本漏洞還有另一個(gè)局限性,需要兩臺連接的設(shè)備都在使用OpenSSL協(xié)議。安卓設(shè)備和大部分的虛擬專用網(wǎng)使用的正是OpenSSL協(xié)議。    

    號稱世界安防技術(shù)之最的美國國家安全局也被自家的技術(shù)分析員斯諾登爆出“棱鏡門”事件,而“棱鏡門”事件一周年之際又被發(fā)現(xiàn)潛伏十幾年的安全漏洞,這對互聯(lián)網(wǎng)安全領(lǐng)域來說絕對是一個(gè)別樣意味的諷刺。連OpenSSL這種歷史悠久、技術(shù)頂尖、使用廣泛的協(xié)議都會存在這種最基本的漏洞,而且只有極少數(shù)的技術(shù)人員在十余年的時(shí)間內(nèi)才偶然發(fā)些這些漏洞,在這個(gè)互聯(lián)網(wǎng)飛速發(fā)展的今天不得不引人深思啊!