Heartbleed - 資安趨勢部落格

首位 Heartbleed漏洞駭客,竊取納稅人個資被捕!「你連上的網站會被Heartbleed漏洞影響嗎？」

2014 年 04 月 16 日2014 年 04 月 18 日趨勢科技 TrendMicro

根據法新社報導,加拿大聯邦警察逮捕1名19歲男子，並指控他利用Heartbleed漏洞，竊取900名加國納稅人的資料。加拿大國稅局因Heartbleed漏洞關閉多天。

Heartbleed 漏洞 – 一周了,心還在持續淌血嗎?

Heartbleed 漏洞攻擊已經成真。

這個漏洞已經佔據了過去一週的新聞頭條（理所當然的）。此一問題影響到的規模很龐大。OpenSSL已經被整合到許多的開發專案內。它可能是最常被用到的安全程式庫。

在上個禮拜五晚上（2014年4月11日），CloudFlare的挑戰成功的被Fedor Indutny和Ilkka Mattila所擊敗。

這挑戰很簡單。CloudFlare建立了一個有Heartbleed漏洞的伺服器。然後，他們要求社群利用這個漏洞來擷取該網站的SSL憑證私鑰。

就在一天之內，不只有一個，而是有兩個人成功地完成任務。

Megan Guess在Ars Technica提供了更多的資訊。不過你要知道的是，這對於Heartbleed會造成真正而實質性的風險提供了確切的證據。在此之前，我們（資訊安全社群）知道有可能從記憶體中擷取金鑰，但很難在沒有證據前說服別人。現在，我們已經有了。

我該怎麼辦？

我們已經建立這個簡短的（4分30秒）影片來解釋heartbleed和你可以做些什麼來保護自己和你的使用者。更多細節和連結如下。

我是個使用者；我可以做些什麼？

作為一個使用者，當連上一個網站或存取一個線上應用程式前要先問自己一個簡單的問題，「這個網站還會被Heartbleed漏洞影響嗎？」

如果答案是不會，立即修改你的密碼。請記得在你的每個帳號都使用獨特的密碼。如果你有許多的網路帳號，你可能會需要一個密碼管理程式，可以輕鬆地幫你管理每一個服務上的獨特密碼。

檢測工具:

想要線上購物或進行網路交易又怕怕的嗎?輸入網址,檢測網站是否有相關漏洞,到這邊安裝檢測工具

繼續閱讀

心跳（Heartbeat）停止：Heartbleed OpenSSL漏洞分析

2014 年 04 月 14 日2014 年 04 月 17 日趨勢科技 TrendMicro

軟體會有漏洞是我們必須面對的現實，如果我們夠幸運且夠勤快，那就可以在網路犯罪份子攻擊它之前先加以修補。事實並不一定總是如此，但幸好那些算是例外，而不是常態。

不過最近新聞爆出了一個關於 OpenSSL 的Heartbeat擴充程式漏洞，這是個開放原始碼工具包，用來幫助網站管理員和開發人員讓交易更加安全。而這個漏洞如果被利用的話（因為此漏洞的本質，所以沒辦法知道網路犯罪份子是否已經如此做），可能代表有許多使用OpenSSL的網站和應用程式上的交易已經被危及了。

什麼是Heartbeat OpenSSL擴充程式？

OpenSSL在2011年12月左右推出名為Heartbeat的擴充程式，隨著1.0.1編譯版本發佈，被定義在RFC 6520 TLS/DTLS Heartbeat擴充程式。這個擴充程式的功能是幫助避免重新建立會話，並允許一個讓SSL會話可以維持更久的機制。該 RFC 建議 HeartbeatRequest 必須用HeartbeatResponse訊息回答。這結果會保存網路資源，資源一般用在完整會話的重新協商。

這裡要指出的是，OpenSSL被用在許多網站和軟體上，從開放原始碼的伺服器（像Apache和Nginx），到電子郵件伺服器，聊天伺服器，虛擬私有網路（VPN），甚至是網絡設備。

因此，可以很合理的假設Hearbead擴充程式已經被大量地應用，也讓這漏洞的影響範圍真的相當廣泛。

了解Heartbleed臭蟲

該漏洞被稱為Heartbleed臭蟲，存在於所有實作Heartbeat擴充程式的OpenSSL。當攻擊一個有漏洞的伺服器時，可以讓攻擊者一次讀取部分（最多64KB）的電腦記憶體而不會留下任何痕跡。

這一小塊記憶體可能會包含使用者重要的個人資料 – 私鑰、使用者名稱、密碼（在很多情況下是以明文的形式）、信用卡資料以及機密文件等等。攻擊者可以一再地要求記憶體區塊以盡可能地獲取他們所想要的資訊。而且這個漏洞可以被任何人從網路上的任何地方加以攻擊。

一個主要的網路內容供應商也受到此漏洞影響，他們迅速努力地修復它。但在它修復之前，有些惡意份子可能已經竊取了敏感資料。繼續閱讀

手機購物竟”心在淌血”!!Heartbleed臭蟲, 影響銀行,線上支付,網路購物等手機/行動應用程式

2014 年 04 月 14 日2014 年 04 月 17 日趨勢科技 TrendMicro

趨勢科技掃描了大約390,000個來自Google Play的應用程式，發現約有1,300個會連到有漏洞的伺服器。其中有15個銀行相關應用程式，39個和線上支付有關，10個和網路購物有關。

前不久，OpenSSL 加密軟體程式庫的 Heartbeat (心跳) 延伸功能被發現含有一個漏洞，此漏洞被戲稱為 Heartbleed (心在淌血) 臭蟲，它存在於所有內含 Heartbeat 延伸功能的 OpenSSL 軟體。當伺服器遭此漏洞攻擊時，駭客就能讀取電腦記憶體當中的資料 (每次最多 64KB)，而且完全不留任何痕跡。

Heartbleed臭蟲的嚴重性已經讓無數的網站和伺服器急著去解決這問題。而且這是有理由的，一個由Github所進行的測試顯示，在前10,000名網站（根據Alexa排名）中，有600個受此弱點影響。在掃描的時候，受影響的網站包括了雅虎、Flickr、OKCupid、Rolling Stone和Ars Technica。

延伸此一安全漏洞的涵蓋率帶出另一個問題，「行動設備也會受到影響嗎？」簡單的說：是的。

行動應用程式，不管我們喜不喜歡，也一樣地容易受到網站的Heartbleed臭蟲影響。因為應用程式通常會連到伺服器和網頁服務來完成各項功能。正如我們之前的文章所提到，有相當大數量的網域受到此漏洞影響。

假如你只是要進行應用程式內購買的動作，所以你需要輸入信用卡資訊。你做完之後，行動應用程式就會為你完成交易。當你拿到了你要的遊戲，你的信用卡資料也會儲存在行動應用程式所進行交易的伺服器上，並可能在那待上一段長度不等的時間。因此，網路犯罪分子可以利用Heartbleed漏洞來攻擊該伺服器以取得資料（如信用卡號碼）。就是這麼地簡單。

那如果應用程式不提供應用程式內購買呢？他們就安全於此漏洞嗎？也不是，只要它會連到網路伺服器，就還是會被此弱點影響，即便你的信用卡不會被影響到。例如，你的應用程式可能會要求你在社群網路上幫他們按「讚」或「關注」他們以拿到免費獎勵。

假設你決定這樣做，並且按下「確定」。你的應用程式有可能會自己去打開網頁，透過自己的應用程式內瀏覽器讓你去登入社群網路。我們並不是說你所連上的社群網路一定會被Heartbleed漏洞影響，但可能性是存在的，因此也就會有風險。繼續閱讀