政府网站安全未明资安办4月底才能掌握Heartbleed受害状况

由于OpenSSL的Heartbleed漏洞灾情频传，包括加拿大、美国政府都积极修补网站、重设网站密码以为因应。根据资安公司数联资安扫描结果，台湾有2千多个网站有Heartbleed漏洞，但是，负责掌管台湾行政部门资通安全现况的资通安全办公室，目前仍无法掌握政府网站的受害状况，需等到行政院技术服务中心在4月底完成GSN（政府互联网）的扫描后，才会知道政府完整的受害状况。

台湾有2千多台网站服务器有Heartbleed漏洞

数联资安副总经理张裕敏表示，从APNIC汇整台湾的网站列表后，该公司在4月16日晚上9点半，针对APNIC的台湾网站资料，对于已开通443通讯埠的网站进行扫描，结果总共有381,476台网站服务器开启443通讯埠，其中，使用OpenSSL的网站有33,522台，具有Heartbleed漏洞的有2,424台。

若以整体比例来看，台湾的网站中，有8.8％使用OpenSSL进行加密传输；而这些使用OpenSSL的网站，则有7.2％有Heartbleed的漏洞。他说，有Heartbleed漏洞的网站中，更有1,116台网站服务器是使用OpenSSL 1.0.1c版本，该版本成为台湾最常见的受害版本，占有Heartbleed漏洞网站的46％。

戴夫寇尔共同创办人徐念恩亦指出，他们取得在今年3月28日前，所有可从网络上取得的台湾政府网域名称，并于4月11日针对这些政府网域进行检测后，发现有26个政府部门网域的网站服务器有OpenSSL的Heartbleed漏洞，这些受害的除了包含官网的服务器外，其中不乏是机关政府的邮件服务器受害，例如台北市政府、民航局飞航服务总行、高雄市社教馆等。

从民间业者的反应速度来看，在Heartbleed灾情扩散的一周内，大多已经可以掌握台湾整体和部分政府的受害状况。

相较国外政府反应速度，台湾政府因应速度普遍过慢

由于OpenSSL是非常普遍的传输加密开源套件，所以当OpenSSL出现Heartbleed漏洞时，加拿大报税局便在第一时间关闭报税网站，检测所使用的OpenSSL版本是否有Heartbleed漏洞，其中，并发现900名报税人个资外泄。至于，美国奥巴马健保网站也紧急于4月19日，在周末时间发布公告，强迫所有使用者都必须变更网站登入密码，且必须是独一无二的密码，以确保使用者登入网站的安全性。

行政院资通安全办公室主任萧秀琴表示，在台湾时间4月8日传出传输加密的OpenSSL有漏洞后，其所属的行政院资通安全办公室技术服务中心也在4月10日针对政府机关发布资安通报，同时在评估多种检测Heartbleed漏洞工具，在确认扫描的效果和范围后，也将扫描工具用于全GSN的政府网站和资讯设备，以确认GSN整体安全状况。

她表示，在技术服务中心发布资安通报后，有许多A级和资安意识比较强的机关单位已经先进行内部清查。根据回报结果，已经有少数单位发现使用OpenSSL政府网站有Heartbleed漏洞，除了立即更新版本外，也已经要求网站的使用者更换密码。

日前资安办已经选定适当的检测工具，针对锚点GSN（政府互联网）内所有政府网站及使用OpenSSL加密的资讯设备进行扫描，确认是否有Heartbleed漏洞并进行漏洞修补。她表示，最迟在4月30日所有的扫描结果才会出炉，届时，对于有问题的网站和设备除了要求立即更新到最新版OpenSSL之外，如果是政府网站，也会要求管理员和使用者进行密码更换。

相较于国外政府的积极应变，台湾政府资安部门在因应速度上，则显得参差不齐，虽然有些资安意识较高的机关已经完成修复并重设使用者密码，但资通安全办公室对于政府整体受害灾情掌握，却得等到4月30日完整扫描GSN内的网站和资讯设备后，才能得知。

张裕敏指出，许多骇客在4月8日时，已经开始尝试随机取得某些网站的内存资料，估计未来1～2周，骇客可能利用这些已经取得的资料，设法取得重要网站的管理者权限。因此，他建议，许多已经发现有Heartbleed漏洞的网站拥有者，都不可以掉以轻心，应该立即更新OpenSSL版本，并且更换网站管理者和使用者密码。