OpenSSL史上最严重网络臭虫HeartbleedQ&A

OpenSSL在周二（4/8）发布Heartbleed臭虫的重大安全通告，这个潜伏两年的臭虫，影响了全球网络加密资料的传输安全，可能让骇客取得你的Gmail内容、金融交易资料与帐密等原本由加密传输所保护的资料。由于影响层面相当大，因此有资安专家认为这是网络有史以来最严重的臭虫。

到底什么是Heartbleed臭虫？对于资讯安全有怎样的影响？企业与个人该如何因应？ iThome整理了相关的资料与报导，让大家一目了然。

什么是Heartbleed臭虫？

这个漏洞存在OpenSSL的TLS/DTLS 传输安全层的heartbeat（心跳）扩充功能之中，该漏洞受到攻击时会造成内存内容的外泄，可能从服务器端外泄到客户端，或者由客户端外泄到服务器端，因此研究人员将它命名为Heartbleed bug，Heartbleed也就是“心在淌血”的意思。

这个漏洞并不是SSL/TLS协定的问题，而是OpenSSL函式库的程式错误。

什么是OpenSSL？

OpenSSL是相当受欢迎的网络加密软件函式库，网络上SSL/TLS加密传输建置的开放源码套件。

通常互联网上的资料传输都透过SSL/TLS加密来提供资料的安全与隐私性，保护使用者在浏览网站、电子邮件传输、IM（即时传讯），以及一些VPN的资料安全。

对一般使用者来说，什么是SSL/TLS？

SSL是“安全插槽层”（Secure Sockets Layer）的缩写，这是最早由网景公司（Nestscape）所制定的一种安全传输协定，该通讯协定主要在网络的传输中对通讯资料进行加密，确保资料不会被第三方所存取。

TLS是“传输层安全”（Transport Layer Security）的缩写，也是互联网工程工作小组（IETF）将SSL标准化与修改之后的安全传输加密协定。

使用者在浏览网站时，如果看到网址列是以“https://”（多一个 s ）为开头，而不是一般的“http://”，就代表受到了SSL/TLS协定的保护，可以确保资料传输的安全（如果没漏洞的话）。例如，Google的Gmail就全面以加密传输保护，此外，在金融交易相关网站上使用也相当普遍。

Heartbleed漏洞对网络安全的具体影响？（简单说）

Heartbleed漏洞让骇客可以读取到系统内存内原本应该由OpenSSL软件所保护的机密资料。

这些受保护的资料可能包含机密的网页内容、金钥、个人的账号密码，甚至信用卡交易的相关资料，骇客也可利用这个漏洞监听网络上的通讯内容（例如即时传讯的对话）。

发现这个漏洞之一的资安业者Codenomicon并已做过实际测试，验证了骇客的确可利用该漏洞窃取机密资料。

受Heartbleed漏洞影响的软件有那些？

受影响的OpenSSL版本有1.0.1 及1.0.2-beta ， 1.0.1f及1.0.2-beta1（含）之前的旧版。最新释出的1.0.1g及1.0.2-beta2则可修补该漏洞。

另也有许多内含OpenSSL的操作系统受到影响，包括Debian Wheezy，Ubuntu 12.04.4 LTS，CentOS 6.5、Fedora 18、OpenBSD 5.3及 5.4 、FreeBSD 10.0 以上及NetBSD 5.0.2。

企业如何因应？

立即更新服务器上的OpenSSL，完成更新之后并重新开机。

　Google更新服务以解决OpenSSL漏洞

　OpenSSL的Heartbleed漏洞，资安业者给企业与消费者的建议

一般使用者如何因应？

立即更新网络服务的密码不见得是个好方法，因为可能服务供应商尚未修补漏洞。

但如果服务供应商要求你变更密码，请一定要立即依照建议执行，并观察自己的账号是否有可疑的活动，必要时再主动变更像是电子邮件或金融服务等重要服务的密码，以及使用最新的防毒软件。

　OpenSSL的Heartbleed漏洞，资安业者给企业与消费者的建议

是谁发现Heartbleed臭虫？

这个漏洞是由Google资安工程师Neel Mehta和Codenomicon的工程师所组成的安全团队所发现。

其他相关连结：

　OpenSSL重大漏洞Heartbleed 全球网络加密传输安全拉警报
　资安专家：Heartbleed是网络有史以来最严重的臭虫
　安全修补公告
　Heartbleed.com