台湾企业开始因应OpenSSL超危险漏洞战国策、联卡中心抢先修补

全球OpenSSL漏洞风暴吹到台湾，台湾开始有企业展开因应，例如主机代管业者战国策已完成Linux主机的OpenSSL升级修补工作，联合信用卡处理中心也针对少数OpenSSL应用展开修补工作。台湾Yahoo奇摩则表示，台湾依全球总部政策因应。雅虎全球已发布公告，该公司团队已对雅虎的主要属性成功进行适当的修正。

战国策网络工程部主管林尚仁表示，目前战国策的主机采用Linux第三代架构，当4月8日接到OpenSSL含有加密传输漏洞，已经于礼拜三检查所有具有漏洞的主机，且当天已使用OpenSSL 1.0.1g版本修补该漏洞。

联合信用卡处理中心资讯服务部资深协理王晓蕙则表示，联合信用卡处理中心的核心系统并非使用开源软件，只有少部分应用使用了OpenSSL，所以，影响不大。该中心已指派负责资安的小组着手研究漏洞细节，并已调整需要修补的相关程式或系统。

另有金融业者认为，因为金融业的加密机制大多采用非开源的加密方式，或是再搭配内容乱码化的方式来保护资料，OpenSSL对金融证券业的影响并不大。如永丰金证券和板信商业银行均表示，没有采用OpenSSL而不受影响。

国家高速网络与计算中心助理工程师李柏毅表示，全台湾约二分之一以上的网站都会有漏洞，只要运用OpenSSL这模组的网站都会受到影响，主要影响到使用https服务的网站，包含运用使用者认证机制和线上交易等网站。

已出现自动化攻击工具

另外，李柏毅表示，以前大部分的人都不知道这个漏洞，当Google安全部门人员发现此漏洞后，已经有骇客开发出来专门的攻击程式，针对OpenSSL这个漏洞进行攻击和截取资料，影响范围又更大，所以建议企业要尽快更新OpenSSL 1.0.1g。

就个人自保方面，李柏毅表示，因为这次是加密协定的问题，所以就算改密码也无法避免个人资料外泄，唯一的方式就是暂停使用线上交易服务。

OpenSSL网站于4月8日，发布紧急安全修补公告，公布OpenSSL中一个可能潜伏长达2年之久的重大安全漏洞。该漏洞早在2011年就已经被导入，直到最近才被芬兰网络安全公司Codenomicon的及Google安全部门的Neel Mehta发现。骇客可利用此网络安全漏洞“Heartbleed”窃取使用者资讯。

Heartbleed臭虫可以让网络上任何人读取到由OpenSSL防护的系统内存，进而取得服务供应商或加密网络流量的金钥，与使用者的账号与密码。攻击者可借此窃取服务或身份验证内容，并且假冒服务或使用者身份。

OpenSSL加密传输漏洞影响遍及各种操作系统，全球占Web服务器一半以上的Apache都是使用这套软件来进行SSL/TLS加密。另外，许多大型网络公司，如Google、Yahoo、Facebook等，都使用SSL预设对其网络服务进行加密。

受影响的版本遍及2011年12月的OpenSSL 1.0.1到1.0.1f。另也有许多内含OpenSSL的Linux操作系统受到影响，包括Debian Wheezy，Ubuntu 12.04.4 LTS，CentOS 6.5、Fedora 18、OpenBSD 5.3及 5.4 、FreeBSD 10.0 以上及NetBSD 5.0.2。OpenSSL并已同时释出OpenSSL 1.0.1g修补该漏洞。