发表于2014-04-10|[复制链接,推荐给朋友]
0
2773
封神榜里的比干被挖心之后,回去的路上撞见了妲己变成的农妇,农妇在卖空心菜,菜无心可活,那么人无心可活吗?不可不可,于是比干就死了。很多人平常也会说没了心,失了心,都只是一时失意,过度伤心而已,心脏关乎着生死,可如果网络支付的心脏被掏空了,那么互联网金融还可活吗?
8日,常用于电商、网银等安全性极高网站的网络安全协议Open SLL被曝出存在安全漏洞,危及全球包括银行、电商在内关键部门和普通用户财产和信息安全。这一漏洞一旦被恶意利用,意味着用户登录这些电商、网银的账户、密码等关键信息都将泄露。
北京知道创宇信息技术有限公司研究部总监钟晨鸣表示,此次漏洞会影响为数众多的使用https的网站,包括公众熟知并且经常访问的微信、淘宝、各个网银、社交、门户等知名网站,而且越是知名的大网站,越是容易受到不法分子利用漏洞进行的攻击。
据南京翰海源信息技术有限公司创始人方兴介绍,通俗来讲,通过这个漏洞,可以泄露以下四方面内容:一是私钥,所有https站点的加密内容全能破解;二是网站用户密码,用户资产如网银隐私数据被盗取;三是服务器配置和源码,服务器可以被攻破;四是服务器挂掉不能提供服务。
一位安全行业人士透露,他在某著名电商网站上用这个漏洞尝试读取数据,在读取200次后,获得了40多个用户名、7个密码,用这些密码,他成功地登录了该网站。
这一漏洞被曝出后,全球的黑客与安全保卫者们展开了竞赛。黑客在不停地试探各类服务器,试图从漏洞中抓取到尽量多的用户数据;安全保卫者则在尽可能短的时间里升级系统、弥补漏洞,实在来不及实施的则暂时关闭某些服务。
钟晨鸣说,这个漏洞实际上出现于2012年,至今两年多,谁也不知道是否已经有黑客利用漏洞获取了用户资料;而且由于该漏洞即使被入侵也不会在服务器日志中留下痕迹,所以目前还没有办法确认哪些服务器被入侵,也就没法定位损失、确认泄露信息,从而通知用户进行补救。
国家应急中心直到9日才开始联动,响应并不及时。该中心一名专家坦陈,从2003年,国家应急中心就试图建立漏洞触发的相关应急工作和能力,但是这一领域的工作到现在也不够清晰,需要新的能力架构设计。“纯事件触发有时太晚太被动,2001年至2004年有很多教训,技术上存在适当前移的可能。”
业内人士建议,需从顶层设计着手,在政策层面明确导向信息安全与信息化的一体性质,以及安全与建设的全周期结合。从规划角度,要导向政企单位建立综合的信息安全能力,要强调信息安全的体系化建设,把离散的等级保护要求推动到下一步的整体建设中。