一周海外安全事件回顾(2014.04.14-04.20)

在上周，“心脏滴血”(Heartbleed)仍旧是最热的话题。谁应该为滴血漏洞负主要责任呢?就在安全界争论到最热闹的时候，史上“最伟大”的程序猿出现了。他说，你们都别吵了，那段OpenSSL问题代码尼玛就是我写的。

专注于为中小企业提供做网站、成都做网站服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业安居免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了上1000+企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。

​​

​​

谁应该为“心脏滴血”负主要责任?

到底谁该为“心脏滴血”漏洞负责，这是安全界最近争论的焦点之一。大家众说纷纭，靠谱的不靠谱的，说什么的都有。就在这个时候，“史上最伟大”的程序猿出现了——他就是Robin Seggelmann。Seggelmann说，你们都别吵了，那段OpenSSL问题代码尼玛就是我写的。

​​

​​

“我写了那段代码，忽略了一个必要的验证，其实就是疏忽了，” Seggelmann对《卫报》说，“然后在代码验证阶段犯了同样的问题，这个问题在版本发布时仍旧存在。”

不管Seggelmann的这个“疏忽”(Oversight)对人类社会到底造成了多么严重的后果，他无疑是一个勇敢的攻城狮。甭说别的，换上你，你敢承认吗?

很多人借此大力抨击开源社区：尼玛都是瞎子吗?不是说任何BUG逃不过开源社区几百万程序猿的眼睛吗?这次尼玛怎么没人看出来呢?

勇敢的程序猿Seggelmann不这么认为。他充分肯定了开源社区。他认为最根本的问题不在开源这种形式，不仅如此，事实上开源社区太需要更多的资金和资助。开源社区表面看起来红红火火，实际上很多社区都面临生存的挑战。

​​

​​

这和CAST的Peter Pizzutillo的观点不谋而合。Pizzutillo认为开源社区的重大问题正是源于大多人的不劳而获。“90%的网站只是拷走代码，然后拍拍屁股就走了，不会对开源社区做任何贡献，” Pizzutillo忿然道，“开源社区远不象以前那样活跃，现在只剩下一小部分狂热的开发者，归罪于开源社区自身是不公平的。此外，只有开源社区，没有开放测试社区，这就不行了。开源社区只有在代码的索取者同时也是代码的贡献/反馈者的前提下才可能长期有效运作”。

更为激进的批评者认为诸如Google，Cisco，BlackBerry和Juniper这些“滴血漏洞”的受害者公司纯属咎由自取。“他们就是活该!从OpenSSL拷走代码，尼玛不测试一下就用了?”批评者称，很多大公司的程序猿直接从诸如OpenSSL这样的开源社区拷贝代码，然后不经过必要的安全测试就上线了。因此，一个开放源代码漏洞成为众多网站的通病是很正常的事情。

普遍的观点是，指望开源社区进行全面和细致的代码安全性测试是非常不现实的。很多人因此提议，类似Google这样的大公司应该拿些钱出来资助开源社区。开源社区有钱了，可以建立更为完善的机制，可以吸引更多的代码高手，这样一来，相应的安全测试机制就可以自然而然地形成。

观点貌似有些道理。不管开源还是不开源，Seggelmann一定不是第一个编写出存在如此重大bug的程序猿，也肯定不是最后一个。开源社区存在的安全问题和解决方法的讨论因此番“心脏滴血”漏洞的爆发，显得比以往都更急迫。

“心脏滴血”可能引发DDoS攻击吗?

“‘心脏滴血’漏洞可以被利用发起放大DDoS攻击，放大的倍数是3000倍!”对于这样的论断你怎么看?这是Twitter上的言论。

扯淡!你可能会这么说，NTP才尼玛放大400倍，“Heartbleed”怎么可能放大得更多?

你说的很对。问题的关键不是放大多少倍，而是“Heartbleed”基于TLS，需要维持TCP会话，NTP基于UDP，没有状态，因此不可能发生类似NTP或DNS的反射放大情况。

不过，有人提醒，不要忘了TLS还有个兄弟——DTLS——基于UDP的TLS哦。基于UDP可以取得更高的通信性能，但是DTLS可是不基于状态的哦。那么是否可以被利用发起反射放大DDoS攻击呢?

针对这个问题，Black Lotus的Jeffrey A. Lyon做了详细解答。

Lyon的答案：不太可能。感谢RFC4347，它在DTLS通信中增加了cookie机制。发送一方在发送request信息的时候，加入cookie，并要求应答一方在返回的报文中携带同样的cookie，才可能继续接下来的通信。这样一来在很大程度上规避了反射的风险。

​​

​​

其次，如果攻击者绕过了Cookie机制怎么办?不是不可能。但是，DTLS自身具有天然的免疫力。首先，DTLS的应用很少。没有获得广泛应用的原因恰恰是其安全机制。虽然是UDP，但是由于引入了很多类似TCP的验证，使得原有UDP的高效丧失，效率上不比TCP高，因此采用DTLS的价值不太大。即便采用了DTLS，利用request信息获得反射response报文的放大倍数是相当低的，比NTP和DNS反射倍数小很多，攻击ROI是很低的。攻击者与其使用复杂的DTLS来放大，不如选择更简单方便的NTP或DNS协议。

简言之，至少在当下，利用“心脏滴血”漏洞发动DDoS攻击的可能性不大。但是Lyon提醒，当下的结论只是当下的猜测，不排除在不远的将来有人会利用类似的漏洞发起DDoS攻击。

本文名称：一周海外安全事件回顾(2014.04.14-04.20)
链接地址：http://www.shufengxianlan.com/qtweb/news1/496001.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联