每日话题：OpenSSL重大漏洞席卷互联网安全 涉及电商网银

A5站长网(www.admin5.com)4月9日消息，昨日安全协议OpenSSL爆出本年度最严重的安全漏洞。此漏洞被命名为“Heartbleed”。利用该漏洞，黑客坐在自己家里电脑前，就可以实时获取到约30%https开头网址的用户登录账号密码，包括大批网银、购物网站、电子邮件等。

据了解OpenSSL是为网络通信提供安全及数据完整性的一种安全协议，作为一个基于密码学的安全开发包主要囊括了密码算法、常用的密钥和证书封装管理功能以及SSL协议，目前正在各大网银、在线支付、电商网站、门户网站、电子邮件等重要网站上广泛使用。HeartBeat漏洞能够泄露服务器内存中的内容，而这其中包含了一些最敏感的数据，例如用户名、密码和信用卡号等隐私数据。此外，攻击者可以获得服务器数字密钥的拷贝，从而模仿这些服务器，或是对用户通过服务器的通信进行解密。

发现该漏洞的研究人员指出，当今最热门的两大网络服务器Apache和nginx都使用OpenSSL。总体来看，这两种服务器约占全球网站总数的三分之二。SSL还被用在其他互联网软件中，比如桌面电子邮件客户端和聊天软件。这一信息安全漏洞尤为严重。如果希望修复这一漏洞，那么网站将被迫进行大幅调整，此外任何使用OpenSSL的用户都必须修改密码，因为这些密码可能已被窃取。由于越来越多人依赖在线服务，并在多个网站中重复使用同一密码，因此这将带来大问题。

而针对于此次的OpenSSL漏洞，乌云创始人方小顿在接受新浪科技采访时说，OpenSSl实质与服务器有关，很多网站在建站的过程中未及时跟进版本的升级从而导致漏洞的的出现。一般情况下，普通http协议访问网站时，用户信息安全不受OpenSSL的影响。SSL大多运用于电商网站、网银以及在线支付领域， 因为在涉及到资金安全及个人隐私等敏感内容的网页，服务器一般都会强制使用https协议。

被此次漏洞波及的电商企业纷纷表示未受到影响，或已经修复处理完毕。阿里安全回应称，关于OpenSSL某些版本存在基于基础协议的通用漏洞，阿里各网站已经在第一时间进行了修复处理，目前已经处理完毕，包括淘宝、天猫、支付宝等各大网站都确认可以放心使用。当当网表示，目前并未收到任何有关此漏洞的信息，客服也未接到相关投诉，具体细节还需与技术进行了解。而淘宝方面表示，针对OpenSSl的问题，淘宝网已经在第一时间进行了处理和修复，目前已经处理完毕，支付宝则称并未受到影响。另外，京东相关负责人表示，系统已全面排查并升级，可以避免这次漏洞的侵袭。

对于此次漏洞专家建议相关网站进行版本升级，而用户如果访问了受影响的网站，用户无法采取任何自保措施则需要要更改密码!

相关阅读：

详解OpenSSL重大漏洞：谁会受影响?如何解决?

OpenSSL漏洞波及电商和网银 专家提醒及时修复

解析OpenSSL漏洞：影响巨大 两年前已存在

OpenSSL重大漏洞曝光：影响雅虎等多家网站

OpenSSL曝重大安全漏洞 可致网购支付密码泄露