SSL端口443 - 智慧攻击
最近，在网络安全社区中的热门话题，社会化淹没了主流媒体，一直都是关于互联网的最新虫子 - 与吸引人的名字 - Heldbleed。该错误允许攻击者通过SSL端口443捕获密码和其他机密信息。Stuctbleed不是病毒或特洛伊木马，而是只在OpenSSL的实现中发现的编码错误的SSL安全通信协议。所以我们还能信任SSL吗？是证书，客户数据，（密码，信用卡）安全 - 以及那些加密密钥怎么样？本文将看起来出了什么问题，如何修复它，以及网络安全意味着什么。
如果您对网络安全感兴趣，那么研究SSL协议是一个很好的起点。
需要澄清的第一点是它不是损害的SSL。协议没有错误。例如，如果您正在运行IIS，那么好消息是您的网站并不脆弱。故障不使用SSL，但具有特定版本的Openssl返回两年。但是，openssl是市场上使用的最广泛的SSL软件包之一，因为它与市场主导Apache Web服务器一起使用。
OpenSSL在开源社区中也非常受欢迎，因此它也可以包装使用流行的Linux，Apache，MySQL，PHP（灯）开源服务器配置。Apache和捆绑灯泡配置的广泛使用是一个很大的问题，因为Apache / OpenSSL在Internet上的所有Web服务器的约14％上运行。复制问题，Apache和灯通常用于低端电子商务站点，这可能没有资源或技术知识来解决问题。
那么令人心碎的错误是什么，它是如何修复的？
Heartbleed是openSSL软件包版本1.0.1中的编码错误，它自2012年3月以来一直在野外，并且在所有版本中，最多可包括1.0.1f。该漏洞允许攻击者对端口443上的SSL瞄准SSL并操纵SSL心跳，以便读取运行易受攻击的OpenSSL版本的系统的存储器。心跳只是一个发送的保存态度，以确保另一方仍处于活动状态和侦听。其使用是维护服务器和主机之间的唯一会话。如果SSL没有使用心跳，那么主机将不断地重新协调安全参数，这是不高效的。因此，心跳是一个很好的事情，因此他们在SSL广泛使用。
然而，问题不像心跳本身，而是用一行代码，它允许攻击者在端口443上使用TCP将心跳大小变为射击。不幸的是，由于代码没有检查内存大小边界，攻击者是能够从Web服务器读取最多64KB的内存。通过反复更改心跳大小并重复漏洞利用，攻击者可以获得额外的64KB数据块。攻击者继续这一过程，直到他获得访问私人信息，例如用户名和密码或服务器的私钥。修复将心跳有效载荷边界限制为16KB并验证整个心跳。
最新的包1.0.1g发布7TH.2014年4月的最新修复了OpenSSL套餐。早期版本不受影响。因此，只有在该时段内建立的系统可能会受到乐观的影响，除非是讽刺意味的是，作为系统管理员，您已经遵守最佳实践以及遵循最新的升级路径。
减轻问题并升级代码然后很容易，但这并不是真正关注的问题。这是攻击者在那些64k的内存块中找到的东西，这是真正的问题。攻击者是否能查看密码，信用卡详细信息或其他机密信息？因此，妥协的系统的业主在向客户提出建议他们的密码，虽然更像是预防措施，但在不太可能的事件中，他们的凭据被盗。但是，为了让所有客户都需要社交漏洞的信息。在几小时内，主流媒体已经挑选起来，新命名的Hearlbleed Bug是前页消息。
很快就很明显，尽管客户的凭据可能被妥协，但这并不是一个不太可能的事件，这太可能了。实际上，在推特和其他社交媒体网络上捕获了几次密码的示范。这种启示虽然有一些潜在问题的一些潜在问题虽然有争议。这次这是一个灾难性潜力的问题。攻击者是否可以掌握加密密钥？
与所有不对称加密一样，SSL私钥保持安全至关重要。如果私钥受到损害，或者甚至怀疑已成为，那么安全。这有进一步的修改，如果键受到损害，那么数字证书是如此，他们需要被撤销和由可信证书颁发机构（CA）生成的新证书，并且这将是非常昂贵的。
这以下陈述发给了主机openssl加密的网站管理员：
这些是皇冠珠宝，加密键自己。泄露的秘密密钥允许攻击者将任何过去和未来流量解密到受保护的服务，并默许将服务塑造。可以绕过由加密和X.509证书中的签名给出的任何保护。从此泄漏中恢复需要修补漏洞，撤销受损键和重新分发和重新分发新密钥。即使做过这一切仍然会留下过去遭到攻击者拦截的任何流量仍然容易被解密。所有这些都必须由服务的所有者完成。
Heartbleed Bug对安全和电子商务产业潜在的严重后果。即使只是受到受损的加密密钥和证书的潜力，也可以侵蚀信任并撼动公众的信心，这一切都是由于单行代码中的一个小错误。
