赛门铁克解析Heartbleed漏洞对用户及“物联网”的潜在威胁

来源：kaiyun体育官方人口

2014/4/21 11:04:40

赛门铁克解析Heartbleed不仅会对网页服务器造成威胁，同时还会威胁到其他很多类型的服务器的安全，其中包括代理服务器、介质服务器、游戏服务器、数据库服务器、聊天服务器以及FTP服务器等。总之，该漏洞可以对几乎所有硬件设备带来安全威胁，例如路由器、程控交换机（商务电话系统）以及通过“物联网”联接的各类设备。

分享到：新浪微博腾讯微博

本文关键字：赛门铁克 Heartbleed漏洞物联网

令人感到幸运的是，尽管用户本身是一个薄弱点，但是攻击者要想在现实情况下通过这种方式对用户进行攻击，也并非易事。黑客发动攻击的途径主要有两个，一个是诱导用户访问已经被感染的SSL/TLS服务器，另一个是通过一个并无关联性的漏洞来劫持连接路径。但无论是采取哪种方式，对于攻击者来说都是有难度的。下面我们就来分析一下这两种方式：

诱导用户访问携带病毒的服务器。通过安全措施并不完善的网络浏览器进行网络访问，是最易使用户受到感染的方式。攻击者仅需诱导用户访问恶意URL网址，便可以通过携带病毒的服务器来读取用户的网络浏览器内存。用户此前的临时cookies数据、网络访问数据、格式数据以及认证证书等数据，都很容易被攻击者窃取。

不过，除了不易受到Heartbleed威胁的NSS（网络安全服务）库之外，目前大多数主流网络浏览器使用的并不是OpenSSL。然而也有例外，很多命令行网页用户使用的却是OpenSSL（例如wget 和curl ），因此他们很容易遭受Heartbleed的危害。

劫持连接路径。如果一个攻击者想要诱导客户访问携带病毒的服务器，则他们需要利用社会工程学，并找到那些最容易被诱骗的网络用户。不过，许多用户往往只会访问预设的硬编码域名，但是即使是这种情况，也很有可能会遭到攻击。比如说通过WiFi等公开的共享网络，攻击者就能看到用户的网络访问情况，并且能够对其进行篡改，从而对安全防范意识薄弱的用户发动攻击。一般来说，采用SSL/TLS（例如HTTPS等加密网络浏览模式）可以有效解决上述问题，因为该加密方式可以阻止攻击者窃听或篡改网络。不过，攻击者仍然可以抢在SSL/TLS协议尚未完全建立之前，向用户发送携带病毒的Heartbleed信息，从而窃取用户计算机内存中的敏感信息或个人隐私。

图片 2.揭示攻击者如何劫持带有Heartbleed漏洞的OpenSSL网络联接路径，并以安全意识薄弱的用户作为突破口，从而感染服务器，获取计算机内存上的敏感数据

责编：李玉琴

微信扫一扫实时了解行业动态

微信扫一扫分享本文给好友

收藏到畅享打印全文复制链接添加到收藏投稿邮箱

分享到：新浪微博腾讯微博

著作权声明：kaiyun体育官方人口文章著作权分属kaiyun体育官方人口、网友和合作伙伴，部分非原创文章作者信息可能有所缺失，如需补充或修改请与我们联系，工作人员会在1个工作日内配合处理。

文章: 物资管理八百客润乾报表伟库网 Xtools 中服软件中机盛科

用友T系列知识管理 ERP
软件: 用友中服软件 SAP 源天软件 Xtools 中机盛科

赛门铁克解析Heartbleed漏洞对用户及“物联网”的潜在威胁

通过咨询项目或年度顾问方式，帮助您架起业务和IT的桥梁，解决业务和IT创新融合、现有系统取舍难、IT架构、建设路径、IT治理、IT支出优化等IT策略问题。

与您签订总包或三方合同，帮您解决业务和IT规划落地走样、IT详细设计缺失、难以寻觅靠谱的技术供应商、多个供应商协调难、维护升级服务保障难等棘手问题。

与您签订监理合同，以里程碑专家评审、项目变更协调、风险控制研讨、供应商关系协调、CIO智力网络等为主要服务内容，与甲乙方一起实现上线成功。

畅享IT帮助寻找可靠的、性价比高的开发力量，签订外包合同或三方合同，为企业提供可信赖的开发量，为IT供应商解决开发力量不足的问题。

畅享IT帮助寻找靠谱的、性价比高的维护力量，签订外包合同，对客户满意度负责，为客户解决维护运营服务保障难的问题。

对IT系统、IT项目或IT管理进行评估，出具中立评估报告，解决IT评价难、取舍难的问题。