亞太地區(qū)領(lǐng)先的身份識(shí)別、證書和訪問(wèn)管理解決方案提供商安訊奔科技（i-Sprint Innovations，簡(jiǎn)稱“i-Sprint”）提供了有關(guān)較新發(fā)現(xiàn)的OpenSSL加密漏洞Heartbleed以及如何避免該漏洞和其他類似SSL相關(guān)漏洞的深入見(jiàn)解。

Heartbleed漏洞的出現(xiàn)再一次提醒了我們所持續(xù)面臨的安全威脅。Heartbleed漏洞允許互聯(lián)網(wǎng)上的任何人讀取由存在漏洞的OpenSSL軟件版本所保護(hù)的系統(tǒng)內(nèi)存。這會(huì)危及用于識(shí)別服務(wù)提供商身份的密鑰以及用于加密流量、用戶名、用戶密碼和實(shí)際內(nèi)容的密鑰。攻擊者可以利用這一漏洞竊聽(tīng)通信，直接從用戶和用戶所使用的服務(wù)中竊取數(shù)據(jù)，或者冒充用戶身份。

這一漏洞已經(jīng)在制作軟件中存在了兩年多時(shí)間，被領(lǐng)先的安全專家稱作一場(chǎng)“災(zāi)難”。眼下的解決方案是找出受影響的系統(tǒng)，采取修補(bǔ)措施，并更新SSL證書。還需要通知用戶修改密碼，并追蹤已經(jīng)暴露信息的濫用情況。

即便現(xiàn)在已經(jīng)修補(bǔ)了這一漏洞，也無(wú)法保證類似的漏洞不會(huì)再次出現(xiàn)，或者仍然隱藏在軟件內(nèi)尚未發(fā)現(xiàn)。擁有類似影響的此類漏洞在未來(lái)可能在其他的SSL庫(kù)或應(yīng)用產(chǎn)品內(nèi)出現(xiàn)。

這引發(fā)了如下問(wèn)題：安全套接層(SSL)是否足以保護(hù)機(jī)密數(shù)據(jù)和在線交易安全？企業(yè)如何通過(guò)網(wǎng)絡(luò)服務(wù)來(lái)管理未來(lái)的數(shù)據(jù)泄露風(fēng)險(xiǎn)并讓客戶相信他們的數(shù)據(jù)沒(méi)有遭到竊聽(tīng)？是否已經(jīng)可以采取某些措施來(lái)規(guī)避此類事件的風(fēng)險(xiǎn)？

如果想防止敏感數(shù)據(jù)的暴露風(fēng)險(xiǎn)（即便是在SSL加密遭到破壞的情況下），企業(yè)需要一種強(qiáng)大的數(shù)據(jù)保護(hù)解決方案，例如端到端加密(E2EE)解決方案，來(lái)保護(hù)密碼和敏感的交易數(shù)據(jù)。E2EE可確保敏感數(shù)據(jù)保持加密狀況，甚至在脆弱的網(wǎng)絡(luò)或應(yīng)用服務(wù)器的內(nèi)存內(nèi)。該解決方案可提供針對(duì)Heartbleed同類漏洞的保護(hù)，防止軟件開發(fā)人員或DBA等內(nèi)部人員無(wú)意或故意泄露敏感數(shù)據(jù)。實(shí)際上，新加坡金融管理局(MAS)和香港金融管理局(HKMA)已經(jīng)強(qiáng)制要求金融機(jī)構(gòu)采用E2EE來(lái)保護(hù)密碼和電子銀行網(wǎng)站的關(guān)鍵交易數(shù)據(jù)。

與很多金融機(jī)構(gòu)一樣，公司組織也應(yīng)該在SSL保護(hù)之外采用同樣的較佳實(shí)踐方法，加密并通過(guò)通信渠道發(fā)送加密的密碼和敏感數(shù)據(jù)。通過(guò)使用用于數(shù)據(jù)加密的加密庫(kù)和密鑰數(shù)據(jù)，在數(shù)據(jù)提交至服務(wù)器之前，在入口點(diǎn)（用戶臺(tái)式機(jī)/智能手機(jī)）完成加密保護(hù)。數(shù)據(jù)可在到達(dá)網(wǎng)絡(luò)服務(wù)器甚至應(yīng)用服務(wù)器的全程保持加密狀態(tài)。數(shù)據(jù)可能在應(yīng)用服務(wù)器解密，但是就密碼而言，它們將保持加密狀態(tài)，并在硬件安全模塊(HSM)內(nèi)進(jìn)行驗(yàn)證。HSM是一種滿足FIPS標(biāo)準(zhǔn)、使用防篡改硬件的密碼設(shè)備。因此，密碼可從輸入點(diǎn)到對(duì)照點(diǎn)全程保持加密狀態(tài)。除了對(duì)抗Heartbleed類型的漏洞外，這樣還能確保內(nèi)部網(wǎng)絡(luò)中沒(méi)有人可以在傳輸和存儲(chǔ)過(guò)程中獲取密碼，從而防御內(nèi)部欺詐行為。

總的來(lái)說(shuō)，有效的密碼保護(hù)需要組合使用分層的安全解決方案和適當(dāng)?shù)牧鞒�。公司組織不能僅依靠SSL保護(hù)，而應(yīng)該在應(yīng)用層上實(shí)施E2EE解決方案，保護(hù)他們的機(jī)密信息免遭下一次網(wǎng)絡(luò)服務(wù)器漏洞的影響。

如果存在有關(guān)Heartbleed以及如何對(duì)抗該漏洞的疑問(wèn)，請(qǐng)?jiān)L問(wèn)www.i-sprint.com或聯(lián)系i-Sprint安訊奔，電郵：enquiry@i-sprint.com。