从Heartbleed漏洞中吸取的教训

我的工作内容不仅仅是分析各种恶意软件和漏洞，也不限于讨论最新的安全威胁，而更多大的一块工作是尽力向用户说明并教会用户如何构建安全性。因此，我设法重点说明的一些主要话题包括备份、防御恶意代码、通过打上最新的安全补丁使系统保持最新，当然还有使用加密方法的必要性。我敢肯定，你之前一定听说过所有上述的内容，对吗？ 但如果使用的安全软件有漏洞，成为攻击者的攻击入口时，我们该怎么做？ 这是目前热议的话题，尤其是近期曝出了OpenSSL Heartbleed攻击后讨论更为激烈。我决定让此专栏更具我的个人风格，因为我能肯定的一点是你们都能找到无数有关SSL及Heartbleed攻击的文章，但我想分享的是我本人对这些类型的漏洞为何变得如此严重的一些看法。 但在开始讨论Heartbleed攻击之前，我想提一下我们如今看待安全产品和解决方案失效时的心态问题，这一点很重要。我们往往是通过安全产品或解决方案的各种功能和特点来对其进行评估的，如果其符合我们所要达到的目标，则我们会选择购买。 我们如今看待安全产品和解决方案心态并不乐观 – @JacobyDavid 问题是我们往往会忘记安全产品并不能解决我们的所有问题。我们需要理解的是安全产品和解决方案体现的是安全思维。 那么为什么我要讨论OpenSSL Heartbleed漏洞问题呢？我想从一般意义上说，我们都假定互联网运行正常，是一个安全的平台。我们通过互联网传递非常私人的信息、进行约会、购物、通信、管理财务等等。正因如此，互联网的缺点就是一旦出问题，情况就会很快恶化，变得非常糟。 互联网存在的一个大问题是其极端分立性。有些网上资源具有安全性极高、非常稳健的基础架构，而另一些资源则完全忽视这一点，极为脆弱，漏洞百出。此外，有些站点非常安全和稳健，但由于存在大量系统依赖性而导致这些站点变得很脆弱。保护IT系统中的每一个部分的安全性几乎不可能实现。 互联网基础架构一旦出问题，情况就会很快恶化，变得非常糟。 使用互联网时，我们需要预见最糟糕的情况并采取相应的措施。问题是我们还会使用互联网世界以外的可信资源，例如医疗系统、政府部门或其他系统，而这些系统也全部使用的是互联网。所以，一旦出现类似Heartbleed漏洞这样严重的问题时，影响是巨大的。 一旦犯罪分子开始利用Heartbleed漏洞，很难说Heartbleed攻击的传播范围会有多广，影响会有多大。但想想看要是有人能够复制整个世界所有银行保险库的钥匙会怎样？这乍一听确实非常严重，但也完全取决于保险库所存放的物品。 我希望近期不要只盯着这类安全漏洞不放，因为我们这一段时间会忙着解决这一问题。但我们需要记住的是软件只是软件，其中总是会出现或多或少的漏洞。我们还需要了解的是，即便进行备份、加密和防御恶意代码，也仍然有可能会泄露敏感数据。一旦数据泄露，我们需要想尽一切办法，使这些数据无效，让犯罪分子无机可乘。