漫画心脏大出血新华社发这两天停止服务的话题余温未退

漫画：“心脏”大出血 新华社发

这两天，Windows XP停止服务的话题余温未退，OpenSSL存在漏洞的消息又铺天盖地而来。其实，OpenSSL就是互联网上销量最大的锁。有了这个“锁”的保护，第三方就无法读取你与访问网站之间的任何通讯信息。比如信用卡密码、电子邮件等等……可是，最近这把重要的“锁”出现了问题，成为不用钥匙便可打开的废锁。

某国外安全公司近日发布报告称，许多网站使用的为了防范用户密码、账号信息被泄露的OpenSSL安全协议存在漏洞，可能导致大量隐藏数据被盗取。另据谷歌研究人员透露，这种漏洞存在已有两年之久，全球三分之二的活跃网站均在使用这种存在缺陷的加密协议。据360网站安全检测平台对国内120万家经过授权的网站扫描，其中有超过1.1万个网站主机受该漏洞影响，瞭望智库TMT研究总监王云辉将其影响比喻为核弹级。4月7日、8日两天，共计约2亿网民访问了存在OpenSSL漏洞的网站。互联网安全锁出现漏洞会带来怎样的影响？用户利益又该如何维系？

现漏洞  “地震级”网络灾难降临

4月8日，在微软XP操作系统正式停服同一天，互联网筑墙被划出一道致命的裂口——常用于电商、支付类接口等安全性极高网站的网络安全协议OpenSSL被曝存在高危漏洞，众多使用https的网站均可能受到影响。

一些人对漏洞严重性还在盲目乐观时，业界知名“白帽子”、北京知道创宇信息技术有限公司研究部总监余弦指出，此漏洞一旦被恶意利用，用户登录这些电商、支付类接口的账户、密码等关键信息都将面临泄露风险。包括公众熟知并且经常访问的微信、淘宝、一些支付类接口、社交、门户等知名网站均受到影响，而且越是知名度高的网站，越容易受到不法分子的攻击。

在余弦的电脑屏幕上，网络安全分析系统扫描显示，在中国境内的160余万台服务器中，有33303台受到这一漏洞影响。苏宁、盛大、网易、搜狗、唯品会、比特币中国、微信、豌豆荚……一个个网民常用的甚至依赖的网站纷纷“躺枪”。

余弦告诉记者，这3万多台服务器分布在支付类接口系统、大型电商网站、即时通讯系统和邮箱等这些最重要的网络服务器中。

8日晚，余弦和他的团队守在电脑屏幕前彻夜未眠，安全保卫者们敲击键盘的噼啪声一夜未断。不仅余弦，360、京东、微信、支付宝等公司的技术团队也彻夜奋战，和黑客们开展起了一场“你盗我堵”的赛跑，在黑客窃取更多用户数据前赶紧予以修复。

“狼来了”  数据已发生泄露

南京翰海源信息技术有限公司创始人方兴指出：此漏洞事实上非常简单，并不是因为算法被攻破，而是由于程序员在设计时没有做长度检查而产生的内在泄露漏洞。

“新生程序员时常会犯这样的错误。”知道创宇首席执行官杨冀龙如此看待这一问题。

“打个形象的比喻，就像家里的门很坚固也锁好了，但是发现窗户虚掩着。”中国计算机学会计算机安全专业委员会主任严明说，这个漏洞是地震级别的。

知道创宇公司持续在线监测情况显示，虽然大部分公司已有所行动，但仍有部分涉及机构动作迟缓。截至9日晚，知道创宇公司通过监测ZoomEye实时扫描数据分析发现，国内12306铁路客户服务中心、微信公众号、支付宝、淘宝网、360应用、陌陌、雅虎、QQ邮箱、微信网页版、比特币中国、雅虎、知乎等网站的漏洞已经修复完毕。但还有一些网站没有完成修复。

余弦告诉记者，该漏洞并不一定导致用户数据泄露，因为该漏洞只能从内存中读取64K的数据，而重要信息正好落在这个可读取的64K中的几率并不大，但是攻击者可以不断批量地去获取这最新的64K记录，这样就很大程度上可以得到尽可能多的用户隐私信息。

一位安全行业人士透露，他在某著名电商网站上用这个漏洞尝试读取数据，在读取200次后，获得了40多个用户名、7个密码，用这些密码，他成功地登录了该网站。

新闻推荐

网友天津石油电子针对本报真情涌动半月时间收到万爱心

网友“天津石油13电子-1”针对本报《真情涌动 半月时间收到20万爱心款》微博留言：人间大爱真情在！  记者点评：传递正能量，爱心写传奇。赞。  网友“田一妙”针对本...