Heartbleed工程師：這是一場“意外”
在過去的幾天里，Heartbleed漏洞已經(jīng)對安全行業(yè)和Web服務(wù)造成了很大影響。但是，與事故相關(guān)的程序員卻表示，這是一場意外。
Heartbleed是一個影響OpenSSL 1.0.1和 1.0.2的加密漏洞，1.0.1在網(wǎng)頁和大量流行的Web服務(wù)上使用得很多。從理論上說，該漏洞是用于查看跨HTTP，顯著安全的信息，通常在瀏覽器的地址欄中，用一個小小的鎖來表示。
存在安全風(fēng)險的數(shù)據(jù)，包括密碼，密鑰，詳細的金融信息，個人身份信息等——都可以讓黑客潛入，刪除數(shù)據(jù)，而且不留痕跡。
Bruce Schneier在其安全博客上寫道：“本質(zhì)上，一個黑客一次可以從一臺服務(wù)器抓取到64K內(nèi)存。這種攻擊不留痕跡，而且可以重復(fù)多次。這意味著，內(nèi)存中的任何信息——SSL密鑰，用戶密鑰——都不安全。 而且你不得不假設(shè)一切信息都被偷取了。是一切信息。所以這是災(zāi)難性的。如果要從1到10來評級的話，可以將此評為11級。”
OpenSSL程序員Robin Seggelmann告訴《悉尼早報》的Herald，稱不安全的代碼會呆滯Heartbleed漏洞，此OpenSSL項目中，他提交的且由其他程序員檢查過的一些地方就出現(xiàn)了這種情況。
這些代碼被額外的編程方式提煉過了，目的是加密協(xié)議，然后由上百萬的網(wǎng)站來使用，就是這些看著挺靠譜的代碼出現(xiàn)了漏洞，原因是“在一個包含長度的變量上缺乏驗證。”Seggelmann和其他檢查代碼的人都沒有注意到缺失的驗證，因此，代碼最終從開發(fā)者手中到了加密軟件里。
這名德國軟件開發(fā)員否認這個安全漏洞是精心安排的，他告訴公眾，OpenSSL中的這個錯誤是“不起眼的”，但影響卻“十分嚴重。”
Seggelmann提到，有人試圖用陰謀論來解釋這個漏洞，特別是在前NSA員工斯諾登曝出全球政府的監(jiān)控行為之后。同時，他承認，也有可能情報部門在過去兩年中已經(jīng)知曉這個漏洞，并對其進行利用，但這個漏洞并非“有意而為。”Seggelmann稱：
“在這個案例中，這個漏洞只是新特性編寫中出現(xiàn)的編程錯誤，不幸的是這個錯誤出現(xiàn)在安全相關(guān)的部分。它根本不是刻意留下的漏洞，更何況，我自己以前還修復(fù)過OpenSSL漏洞，而且當(dāng)時打算貢獻給這個項目。”
許多網(wǎng)站都修復(fù)了這個安全漏洞，包括Facebook，YouTube，Tumblr，Reddit和Instagram。你可以用LastPass的Heartbleed檢查器來查看自己喜愛的Web服務(wù)是否仍然存在這個漏洞，一旦這些公司修復(fù)好漏洞，建議你最好更換一下你的服務(wù)密碼。
