OpenSSL重大漏洞Heartbleed重创全球网络加密传输安全
OpenSSL发现重大漏洞，美国国土安全局资安小组US-CERT也发布资安通报，揭露受影响的厂商，并呼吁企业尽快更新。
确保网络传输与资料加密安全的OpenSSL开放源码加密安全套件，日前被资安研究人员发现有一个隐匿2年之久的漏洞Heartbleed（心脏淌血），漏洞编号CVE-2014-0160，骇客可以透过此一漏洞，窃取所有https网站内存中64 KB 的资料，包括：账号、密码甚至是加密私钥等等。
戴夫寇尔首席执行官翁浩正表示，所有使用Https网站的服务，例如网银、社交网站、电子商务网站及包含会员机制的网站在内，普遍受到影响，都应该立即升级OpenSSL软件到1.0.1g版或1.0.2-beta2，以修复相关漏洞。
采用OpenSSL加密网站，陷入高度风险
资安公司Codenomicon及Google安全部门的Neel Mehta发现这个OpenSSL漏洞，全球拥有Web服务器市占一半以上的Apache，也都是使用OpenSSL这套软件来进行SSL/TLS加密。
由于这个漏洞存在OpenSSL的TLS/DTLS 传输安全层的heartbeat（心跳）扩充功能之中，该漏洞受到攻击时会造成内存内容的外泄，可能从服务器端外泄到客户端，或者由客户端外泄到服务器端，因此研究人员将它命名为Heartbleed（心脏淌血）漏洞。
Codenomicon资安研究人员解释，Heartbleed漏洞可能让网络上任何人读取到由OpenSSL防护的系统内存，进而获得辨识服务供应商或加密网络流量的密钥，或是使用者的账号密码及实际内容。攻击者可借此窃取服务或身份验证内容，并且假冒服务或使用者身份。
研究人员实地测试发现，Heartbleed漏洞可让他们无需权限资料就可以取得自己的x.509加密金钥、用户账号、即时通讯、电子邮件及公司重要文件及通讯内容，而且完全不留任何痕迹。
因此即使公司系统曾经遭到入侵，管理员可能也无从得知。因此，翁浩正表示，当骇客可以利用这个漏洞从网站服务器中读取上述机敏资料时，许多网站都因为此一漏洞陷入机敏资料外泄、账号和加密私钥遭窃的风险。
目前这个OpenSSL漏洞影响到所有使用OpenSSL的服务，包括：HTTP、SMTPS、IMAPS、POP3S等，受影响的系统除了OpenSSL 1.0.1到1.0.1f之外，也影响到其他使用OpenSSL做加密服务的操作系统，包括Debian Wheezy、Ubuntu 12.04.4 LTS、CentOS 6.5、Fedora 18、OpenBSD 5.3、FreeBSD 10.0、NetBSD 5.0.2以及OpenSUSE 12.2等版本。
台湾使用Https网站都有风险
翁浩正指出，所有使用Https网站的服务，例如网银、社交网站、电子商务网站及包含会员机制的网站在内，都在这波攻击范围内。但是许多企业面临到困境则是，设备难以直接更新或已经过保固期，一定要请原厂协助。
他建议，所有企业应该立即升级OpenSSL软件到1.0.1g版或1.0.2-beta2以修复相关漏洞，也可以借助Heartbleed test检测网站（http://filippo.io/Heartbleed/），测试公司网站是否有编号CVE-2014-0160的漏洞；或者是借助自我测试工具（http://s3.jspenguin.org/ssltest.py），会显示网站内存中是否有包含加密私钥等机敏资料等。
OpenSSL是用C语言写的函式库，心脏淌血漏洞并不是SSL/TLS协定的问题，而是OpenSSL函式库C语言程式设计错误，许多老旧的程式码可能都潜藏这样的漏洞，翁浩正认为，企业也应该趁此清查网站服务器的安全性。
他也提出8个应对措施，首先，确认自己的 OpenSSL 版本是否在受害范围；再者，使用 ssltest.py 检测工具检测是否含有漏洞；第三步则是更新 OpenSSL 至 1.0.1g 或 1.0.2-beta2，第四步则要重开所有与 OpenSSL 函式库相关之服务，达到第五步，重新产生 SSL Private Key（避免Private Key先前已经借由漏洞外泄）。
接着，他说，第六步要做到将网站旧凭证撤销，并且清除所有目前网页服务器上的Session（因为可能遭到窃取），最后，包括网站管理者和所有使用者都应该更换密码并定期追踪，以确保没有账号被盗用。文⊙林妍溱、黄彦棻
