互联网曝重大漏洞 应对不足凸显我国安全短板
在WindowsXP停服的同一天,互联网曝出重大安全漏洞,危及全球包括银行、电商在内关键部门和普通用户财产及信息安全,NASA等众多网站受波及,这一漏洞一旦被恶意利用,意味着用户登陆这些电商、网银的账户、密码等关键信息都将泄露,造成财产损失。
安全协议“心脏出血”
8日,网络安全协议Open SLL被曝出存在安全漏洞,该协议常用于电商、网银等安全性极高的网站。北京知道创宇信息技术有限公司研究部总监钟晨鸣表示,此次漏洞会影响为数众多的使用https的网站,其中包括公众熟知并且经常访问的电商、网银、社交、门户等知名网站。
据了解,这一漏洞由安全公司Codenomicon和谷歌安全工程师独立发现。发现者们给这个漏洞起了个形象的名字:heartbleed——心脏出血。
据南京翰海源信息技术有限公司创始人方兴介绍,通过这个漏洞,所有https站点的加密内容全能破解,用户资产如网银隐私数据可能被盗取,服务器配置和源码泄露,导致服务器可以被攻破,不能提供服务。
“对于一个安全协议来说,这样的安全漏洞是非常严重的。”钟晨鸣说,该漏洞并不一定导致用户数据泄露,因为该漏洞只能从内存中读取64K的数据,而重要信息正好落在这个可读取的64k上的几率并不大,但是攻击者可以不断批量地去获取这最新的64k记录,这样就很大程度上可以得到尽可能多的用户隐私信息。
一位安全行业人士透露,他在某著名电商网站上用这个漏洞尝试读取数据,在读取200次后,获得了40多个用户名、7个密码,用这些密码,他成功地登录了该网站。
威胁长期存在 部分涉及机构盲目乐观
这一漏洞被曝出后,全球的黑客与安全保卫者们展开竞赛。黑客在不停地试探各类服务器,试图从漏洞中抓取到尽量多的用户数据;安全保卫者则在尽可能短的时间里升级系统、弥补漏洞,实在来不及实施的则暂时关闭某些服务。
根据知道创宇公司持续在线监测情况来看,虽然大部分公司已有所行动,但有部分涉及机构盲目乐观。如360、百度等公司在升级OpenSSL,微信已暂停SSL服务,有的网站为规避风险,干脆暂停全部服务。不过,仍有机构根本没有采取任何 措施。
钟晨鸣说,这个漏洞实际上出现于2012年,至今两年多,谁也不知道是否已经有黑客利用漏洞获取了用户资料;而且由于该漏洞即使被入侵也不会在服务器日志中留下痕迹,所以目前还没有办法确认哪些服务器被入侵,也就没法定位损失、确认泄漏信息,从而通知用户进行补救。
作为国内顶尖的安全专家,方兴指出,此次发现的漏洞事实上是非常简单的一个漏洞,并不是因为算法被攻破,而是由于程序员在设计时没有做长度检查而产生的内在泄露漏洞。“几乎所有程序员都很容易犯的错误,即使微软的高手,开源的精英也容易犯。”加密算法很重要,但目前攻防的重点不是数学算法的对抗,而是安全漏洞攻防的对抗。
方兴对这一事件可能带来的巨大负面影响非常忧虑。他说,并不是此次修复漏洞后就安全了,负面影响将是持续的,攻击者还可以造成很大破坏。
安全防护“蝴蝶效应”显现 我国网络安全存短板
分析人士指出,具体受害的用户数字要到后面才能得以统计,当前应动员所有应急机制做出紧急反应,并通报如何尽量减少威胁。建议大型站点需要换证,重新配置密码串,对于个人用户而言,最迫切的就是要改密码。
而国家应急中心直到9日才开始联动,响应并不及时。该中心一名专家坦陈,从2003年,国家应急中心就试图建立漏洞触发的相关应急工作和能力,但是这一领域的工作到现在也不够清晰,需要新的能力架构设计。“纯事件触发有时太晚太被动,技术上存在适当前移的可能。”
有专家指出,商业软件漏洞信息不开放,修补则遥遥无期。而政策导向不明确,得不到有关部门负责人的大力支持。一位不愿具名的安全厂商负责人表示,一些管理者缺乏对系统工程的认识,对纵深防御持反对态度。为了获得项目,安全厂商不得不撒谎,称已有安全机制足够抵御风险。“在企业里,直接技术领导意识很先进,但是到了规划等部门,纵深防御被认为是浪费钱。”
这位负责人建议,需从顶层设计着手,在政策层面明确导向信息安全与信息化的一体性质,以及安全与建设的全周期结合。从规划角度,要引导政企单位建立综合的信息安全能力,要强调信息安全的体系化建设,把离散的等级保护要求推动到下一步的整体建设中。
上一篇:政府“如何作为”比“作为”更重要