您的位置: 网界网 > 安全 > 正文

“心脏流血”漏洞死灰复燃?

2014年06月04日 16:28:34 | 作者:佚名 | 来源:eNet硅谷动力 | 查看本文手机版

摘要:在安全公司Codenomicon和谷歌安全工程师发现了“心脏流血”(Heartbleed)漏洞,并提交给相关管理机构整整7周后,这一漏洞似乎依旧在给人们制造问题。

标签
心脏流血
漏洞
Heartbleed

在安全公司Codenomicon和谷歌安全工程师发现了“心脏流血”(Heartbleed)漏洞,并提交给相关管理机构整整7周后,这一漏洞似乎依旧在给人们制造问题。据葡萄牙互联网安全研究人员刘易斯-格兰吉亚(Luis Grangeia)透露,黑客可以利用这一漏洞通过Wifi展开类似的攻击行为。

据悉,格兰吉亚所发现的新型攻击形式被称为“Cupid”。“Cupid”的攻击步骤与“心脏流血”完全一致,只不过前者主要利用的不是开放Web,而是WiFi网络展开攻击。比如,该漏洞允许黑客截取Android设备和路由器之间的通信数据。同时,黑客也能够获悉目标设备存储在内存上的部分信息,因此而有可能导致用户的个人认证凭证、个人信息遭到泄露。

目前,格兰吉亚已经针对自己的发现发布了一份研究报告,并敦促设备供应商和网络管理方尽快升级自己的现有设备。

到目前为止,我们尚不清楚有多少设备会受到这一漏洞的影响,但相信“Cupid”所造成的负面影响要比“心脏流血”减轻许多。分析人士认为,最有可能遭遇类似漏洞入侵是那些采用可扩展认证协议(EAP)的路由器,这类路由器通常需要用户名和密码才能够正常工作,但这一漏洞却可以利用“心脏流血”漏洞绕过这一安全机制。

格兰吉亚所担心的另一个方面是,目前运行Android 4.1.1的设备也面临着遭受“心脏流血”漏洞的影响。比如(+本站微信networkworldweixin),黑客可以利用这一漏洞架设一个公开的Wifi网络,一旦用户手机连接了这一网络后,黑客便有可能从设备中读取数据。可以肯定的是,虽然许多用户已经在“心脏流血”漏洞最先被披露的时候升级了系统,但目前仍然有数百万之巨的Android设备运行着该操作系统。

Heartbleed(心脏流血)漏洞

今年4月初,安全公司Codenomicon的工程师安蒂·卡加莱能(Antti Karjalainen)在正常的工作时,却偶然发现了互联网史上最大的安全漏洞--Heartbleed(心脏流血)漏洞。Heartbleed漏洞影响了被广泛使用的开放源代码SSL安全套件OpenSSL的加密协议。简言之,这个漏洞可以诱使服务器将其内存中的数据溢出来,从而可能让黑客掌握这一漏洞,并进一步窃取诸如信用卡和密码等之类的敏感信息。

[责任编辑:网络安全 lin_hongji@cnw.com.cn]