年度最嚴重安全漏洞波及2億網民 國內網站緊急修復

　　年度最嚴重安全漏洞波及2億網民

　　可導致用戶賬號密碼洩露；國內網站緊急修復，U盾不受影響

　　昨天，安全協議OpenSSL爆出本年度最嚴重的安全漏洞“心臟出血”。利用該漏洞，駭客坐在自己家裏電腦前，就可以實時獲取到很多https開頭網址的用戶登錄賬號密碼，包括網銀、知名購物網站、電子郵件等資訊。昨天下午，國內大量網站已開始緊急修復此OpenSSL高危漏洞，中國金融認證中心則發文表示，網銀受到的影響較少，U盾可以放心使用。

　　國內2億網民面臨泄密風險

　　4月7日淩晨，國內就出現了針對OpenSSL“心臟出血”漏洞的駭客攻擊跡象。據360網站安全檢測平臺對國內120萬家經過授權的網站掃描，其中有11440個網站主機受該漏洞影響。4月7日、4月8日期間，共計約2億網民訪問了存在OpenSSL漏洞的網站。

　　360安全專家石曉虹博士表示，OpenSSL此漏洞堪稱“網路核彈”，網銀、網購、網上支付、郵箱等都會受到影響。因為有很多隱私資訊都存儲在網站伺服器的記憶體中，無論用戶電腦多麼安全，只要網站使用了存在漏洞的OpenSSL版本，用戶登錄該網站時就可能被駭客實時監控到登錄賬號和密碼。

　　目前還沒有具體的統計數據顯示這次漏洞造成多大的經濟損失，但發現該漏洞的研究人員指出，當今最熱門的兩大網路伺服器Apache和nginx都使用OpenSSL。總體來看，這兩種伺服器約佔全球網站總數的三分之二。

　　國內網站緊急修復

　　據悉，發現該漏洞的研究人員幾天前就已經通知OpenSSL團隊和重要的利益相關者。這讓OpenSSL得以在漏洞公佈當天就發佈了修復版本。為了解決該問題，各大網站需要儘快安裝最新版OpenSSL。

　　昨天下午，國內大量網站已開始緊急修復此OpenSSL高危漏洞，但是修復此漏洞普遍需要半個小時到一個小時時間，大型網站修復時間會更長一些。

　　Facebook、雅虎和谷歌發言人昨天均對外表示，已經評估了SSL漏洞，並且給關鍵服務打上了補丁。微軟髮言人也表示，“我們正在關注OpenSSL問題的報道。如果確實對我們的設備和服務有影響，我們會採取必要措施保護用戶。”

　　截至發稿前，包括阿里巴巴、騰訊等多個大型網際網路服務商通過官微宣佈，已經修復了該OpenSSL漏洞。

　　昨天，中國金融認證中心(CFCA)官方網站挂出文章，針對OpenSSL漏洞對網銀的影響進行了説明，其表示，網銀系統均使用商業級的SSL加密設備，很少有採用類似OpenSSL這樣的開源軟體，因此受到的影響較少。而對於普通用戶，U盾可以完全放心使用。對於不能確認的網站，可通過一些免費的線上工具驗證一下訪問的網站是否存在這個漏洞。如果存在此漏洞的話，先暫停訪問，等待漏洞得到修復。

　　- 名詞解釋

　　OpenSSL

　　SSL是一種流行的加密技術，可以保護用戶通過網際網路傳輸的隱私資訊。SSL最早在1994年由網景推出，上世紀90年代以來已經被所有主流瀏覽器採納。目前該技術在各大網銀、線上支付、電商網站、門戶網站、電子郵件等重要網站上廣泛使用。

　　當用戶訪問一些安全網站時，會在URL地址旁看到一個“鎖”，表明你在該網站上的通訊資訊都被加密。這個“鎖”表明，第三方無法讀取你與該網站之間的任何通訊資訊。在後臺，通過SSL加密的數據只有接收者才能解密。

　　多數SSL加密的網站都使用名為OpenSSL的開源套裝軟體。本次爆出的安全漏洞正存在於這款軟體中，該漏洞導致攻擊者可以遠端讀取存在漏洞版本的openssl伺服器記憶體中長達64K的數據。OpenSSL大約兩年前就已經存在這一缺陷。

　　新京報記者 林其玲