OpenSSL

本周值得关注的新闻有：僵尸网络被联合行动捣毁；已遭破坏的OpenSSL加密库再曝漏洞；Google海量数据存储加密方面的新闻让人颇受鼓舞，但仍问题重重；昨天是爱德华•斯诺登事件曝光一周年。 一周#安全和#隐私要闻，作者@TheBrianDonohue。 Gameover僵尸网络 美国和欧洲执法机构联手捣毁了Gameover僵尸网络。僵尸网络是一种被恶意软件感染的计算机所构成的网络，计算机被感染后即成为帮凶，加入传播大军，在用户毫不知情的情况被利用于违法目的。Gameover用于散布Zeus宙斯木马，一旦植入此病毒后，即可实施网络欺诈计划，其中涉及窃取被感染用户计算机的财务凭证，将用户账户中的资金转入黑客所控制的账户。此外，Gameover最近还被用于散布臭名昭著的Cryptolocker勒索软件。 捣毁僵尸网络要求执法机构（有时会与私人公司联手行动）夺取对分发恶意软件的服务器的控制权，此服务器被称为命令控制服务器（C&C）。接管僵尸网络的行为就其本质来说，有时也被称为”sinkholing”技术。许多散布很广的僵尸网络都是通过这种方式捣毁的。针对这种情况，犯罪分子逐渐迁移到更有弹性的对等僵尸网络基础架构。此举实质上意味着命令控制服务器会在僵尸网络本身未知数量的机器上共享。 简言之，捣毁对等僵尸网络需要执法机构监视并了解其通信基础架构。一旦掌握了僵尸网络的通信方式，即可以着手复制其结构并控制僵尸网络。夺取了僵尸网络的控制权后，即能使僵尸网络停止运行。 要了解Gameover被捣毁所造成影响的精彩解读，请阅读卡巴斯基实验室全球研究与分析团队成员David Emm的讲解。 OpenSSL 新发现的OpenSSL漏洞非常严重，但严重程度和波及的系统范围略逊于Heartbleed。 Heartleed漏洞带来的伤痛还记忆犹新，昨天新闻中又曝出OpenSSL存在另一个严重漏洞。OpenSSL是互联网上大量用户使用的加密实施服务，这次新发现的OpenSSL漏洞非常严重，但严重程度和波及的系统范围略逊于Heartbleed。加密是指一种数学算法，用于保护用户在网上和计算机上所执行的操作、交谈和存储内容的安全。如果您觉得这种解释过于简单，请阅读哈希算法说明，更好地了解其工作原理。不管怎样，新漏洞是可通过远程方式加以利用，这意味着黑客在舒适的家里（或者连到互联网的任何位置）就能够利用此漏洞向不知情的用户发起攻击。黑客成功利用此漏洞入侵后，可拦截被入侵客户端与服务器之间的流量并进行解密。 利用此漏洞执行的攻击并不都这么简单（事实上，黑客很可能并不是在自己舒适的家里发起攻击的，但我想说明的是”可通过远程方式攻击”这个术语）。攻击者需要相对其目标处于”中间人”位置。顾名思义，中间人攻击是指：攻击者自身或利用工具插入用户和重要资源（例如，银行网站或电子邮件账户）之间。最简单的做法是监视流出不安全Wi-Fi网络的流量，这类Wi-Fi网络有许多是我们所有人几乎每天都会用到的。另外还有数十种其他方法可用来执行中间人攻击，您可以通过上面的链接了解相关信息。 发现此漏洞代码段的研究人员表示，此漏洞似乎从1998年开始就一直存在，几乎从未更改过。 端到端 昨天，Google发布了Gmail流量中在传输中被加密（例如，离开Google系统后）的流量所占比例。部分数据相当不错。搜索巨头Google发现，从Gmail发出的电子邮件中，大约69%经过加密，而Gmail收到的邮件中经过加密的占48%。这一比例相对于前几年已经有了大幅上升。 Google会对其服务器上的所有数据进行加密，所以上述研究结果反映的是其他服务对Gmail通信离开Google控制范围后的加密情况。在这里我有意轻描谈写，因为我们计划专门写一系列文章，具体探讨全球哪些服务在改进加密传输中的数据，哪些服务对此无动于衷。请继续关注我们接下来几周的博客。 Google还宣布开发出了一种工具，将用于加密所有流出Chrome浏览器的数据，这应该能帮助解决上面谈到的部分问题。我们对此工具的工作方式充满好奇。同样，请继续关注我们的博客，未来我们将就此发布相关文章。 “重置网络”行动 我们曾在每月安全新闻播客中提到过，6月5日是重置网络行动日。此项行动设定为斯诺登首次曝光美国国安局大规模监控项目周年纪念日并不是巧合，此行动的目的就是为了通过向日常网络用户提供高强度的安全和隐私工具，抵制政府监控行为。在此用户可以找到一些使用方便、几乎适用于任何操作系统的工具。请尽情享用这些工具，使用心得可以通过下面的评论部分与我们分享。

与上周一样，Heartbleed大事件仍是安全类新闻的头条。也许我该用整个篇幅来全面概述有关Heartbleed事件的讨论内容，但我不会这么做，因为我想你们可能还希望了解影响外置硬盘知名（时尚）品牌制造商长达一年之久的数据外泄事件；微软的奇怪举动，可能会影响用户安装安全更新；某家搜索巨头的潜在行动计划可能会促进网站搜索优化，使网站做出良好的安全决策；看看终结XP支持对互联网有怎样的影响。 Heartbleed漏洞 如我所说，Heartbleed大事件仍在持续报道中。有可能在之前两周半左右的时间里，你完全没注意过任何相关新闻来源，下面我会对此事件进行扼要概述：Heartbleed是一种加密漏洞，互联网上的任何人都能借助此漏洞来读取通过OpenSSL这种加密实施服务进行保护的机器内存。严重情况下，这块小小的内存中很可能含有用户名、密码，甚至私人加密密钥等敏感信息。要在一条简短的新闻提要中清楚解释整个事件是不可能的，如果您对此事件不是很清楚，请阅读Heartbleed发展概要，文章中进一步分析说明了为什么Heartbleed是一个大事件。如果你对此事件的发展已经很熟悉，请继续阅读本文： 上周末，Heartbleed事态进一步升级，已经从严重但仍认为安全的漏洞过渡到在真实世界攻击中被大肆利用，不断收集真实受害者的信息。一家英国育儿网站Mumsnet被黑客利用Heartbleed漏洞攻击后，被攻击者窃取了存储在该网站上的密码，据报道说攻击者利用这些密码在网站上发布消息。更令人担心的是，攻击者还利用Heartbleed漏洞设法入侵加拿大税务署辖下的系统。在加拿大税务署在使用OpenSSL的补丁版本更新系统之前6小时内，攻击者就盗走了900位市民的社会保险号。 可能导致密码、通信和加密密钥泄露的OpenSSL Heartbleed bug仍是安全行业新闻头条 美国波士顿东北大学的Collin Mulliner发起了一项研究，针对Tor节点随机采样进行检查，根据上周晚些时候发布的报告，Tor匿名化网络中大约有20%的服务器或”出口节点“被发现具有漏洞。 虽然出现了Heartbleed攻击，但概念验证证明，由于事实上存在证书被盗的可能性，而且很多人都知道需要更换可能有漏洞的证书，因此证书撤销和更换潮似乎实际上算不上什么”潮”。简而言之，这些证书可确保所访问的网站正是你要去网站。很大程度上证书在互联网上的信任度非常高。当然，Heartbleed漏洞出现后，证书撤销和更换操作出现井喷，但相对于bug的规模是完全不成比例的。 LaCie长达一年的漏洞 据我同事（每月新闻播客主持人之一）Chris Brook报道，法国计算机硬件公司LaCie（莱斯）本周宣布公司成为数据外泄的受害者，只要去年从公司网站上购买过产品的用户，其敏感信息都面临泄露危险。LaCie最出名的产品可能是彩色外置硬盘。该公司称，攻击者利用一款恶意软件入侵公司在线系统，并利用此软件来盗取客户名称、地址和邮箱地址，此外还包括支付卡信息和卡到期日期。所以，如果你大约在去年直接从LaCie网店买过产品，那么你的信息很可能已外泄，如果情况属实，公司可能已经通知过您相关情况。 微软做出古怪决策；Google搜索算法很可能再造辉煌 微软的行动着实让我想不通，但我想他们肯定有充分的理由这样做。微软最近宣布，不再为运行过时版本的Windows 8.1的用户提供安全更新。要想在未来接收安全更新，客户必须使用最新版本的Windows 8.1更新来更新自己的机器，公司于4月推出此更新版本。 我曾和微软发言人交流过，但他并未详细解释为何公司会做出这一决定。好消息是，微软发言人肯定地指出，此项决定的宣布只会影响很小一部分没有启用自动更新功能的用户。明确地说，就是我们极力推荐启用自动更新，我认为默认情况下大多数商用Windows系统都已启用自动更新。如果您已启用，那么就根本不必有任何担心。如果是手动安装更新，则需要安装4月份的Windows 8.1更新，否则将无法安装微软未来每月发布的补丁。您可自行选择怎样做，但对我来说是完全明摆着的事。 另一方面，有谣言说搜索巨头Google可能会在自己魔法般的搜索算法（至少我是这样认为的）中新增一些算法，此举将极大提高实施加密的网站的搜索结果。《华尔街日报》报道说，此新闻源于该公司搜索算法大师Matt Cutts在一次会议上的发言。Google并未直接否认这些说法，但他们称公司目前对此不置一词。很难说Google是不是会真的考虑增加算法，但无疑这看起来是个不错的主意。 XP的终结？ 微软不再对Windows XP提供支持，上个月微软正式发布（终于）针对Windows XP的最后一批补丁。对于是否停止支持XP系统多年来讨论无数，问题主要围绕放弃支持目前仍有多达28%的计算机用户使用的操作系统会带来怎样的影响。目前要对停止支持XP系统产生的影响下结论还为之过早，但如果您仍在运行XP系统，那么可能是时候更新换代了。如果Heartbleed从未现身，我还觉得对此的讨论应到此为止，但是我敢肯定未来我们还将进一步进行探讨。这就是为什么还将讨论XP的终结可能对未来的影响的原因。 移动新闻 最后，但也同样重要的是卡巴斯基实验室研究人员在最新的报告中证实，利用恶意软件盗取安卓用户银行信息的犯罪分子业务繁荣。结束语：总有一天会出现破解那些精心设计的指纹采集仪的入侵行为。