OpenSSL修复加密漏洞、加强Logjam防御

OpenSSL项目团队为其密码库发布补丁以修复一个严重的漏洞（该漏洞可能允许攻击者解密HTTPS通信），同时强化对Logjam的防御。

解密攻击漏洞是在OpenSSL处理某些特定情况下DH密钥交换时发现的。通常，OpenSSL只使用所谓的“安全”质数，但在OpenSSL1.0.2中，生成参数文件的新方式将重新启用一个质数。理论上讲，攻击者就可以使用这个值来解密加密的安全通信。

不过有咨询师指出这种攻击很难执行，因为它需要“攻击者在同一个人使用相同的DH指数时完成多个信号交换”。

Micro Focus解决方案架构师Garve Hays称该风险是有限的，因为能接触到主要是提供Forward Secrecy的服务，诸如Gmail、Twitter以及Facebook等。

“好消息是这些企业勤于打补丁，因而风险很快会被控制，”Hays表示。“Forward Secrecy其协议特性是不允许用私钥解密消息。因此当获取到私钥时，它并不能用于倒回并恢复旧有通信。”

OpenSSL1.0.1不容易遭到这种攻击，而使用1.0.2版本的用户需要尽早安装OpenSSL1.0.2补丁。

新补丁同时添加一些新的特性以进一步降低Logiam攻击的影响。Logiam可允许中间人攻击者让易被攻击的TLS连接更加脆弱。之前的OpenSSL补丁通过拒绝参数在768位以下的信息交换来防御该攻击，新的补丁强化了该协定，拒绝参数在1024位以下的信息交换。

本文转自d1net（转载）

时间： 2024-10-28 07:14:11

OpenSSL修复加密漏洞、加强Logjam防御的相关文章

【转载】升级OpenSSL修复高危漏洞Heartbleed

背景:       OpenSSL全称为Secure Socket Layer,是Netscape所研发,利用数据加密(Encryption)作技术保障在Internet上数据传输的安全.可确保数据在网络上的传输不会被窃听及截取.       当然,OpenSSL是一个强大的密码库,我们在使用SSL协议的时候不一定非得采用OpenSSL,不过目前基本上都是用的OpenSSL,因为它更安全,使用起来也更简单.       在近期互联网安全协议OpenSSL v1.0.1到1.0.1f的密码算法库中

升级OpenSSL修复高危漏洞Heartbleed

升级OpenSSL修复高危漏洞Heartbleed 背景:          OpenSSL全称为Secure Socket Layer,是Netscape所研发,利用数据加密(Encryption)作技术保障在Internet上数据传输的安全.可确保数据在网络上的传输不会被窃听及截取.          当然,OpenSSL是一个强大的密码库,我们在使用SSL协议的时候不一定非得采用OpenSSL,不过目前基本上都是用的OpenSSL,因为它更安全,使用起来也更简单.          在近期

OpenSSL曝安全漏洞

近日,互联网又抛出重量级"炸弹"--OpenSSL曝出名为"Heartbleed(心脏出血)"的漏洞,黑客可利用该漏洞盗取https开头网址的账号密码信息,严重威胁网络购物.支付.社交等领域.所幸该漏洞一经曝出,就得到了大多数网站的及时补救.安全专家建议广大网友在此漏洞得到修复前,谨慎登录https网站和与支付相关操作,并在修复漏洞的第一时间及时修改密码. "影响至少两亿中国网民" "'心脏出血'漏洞可致数亿网民密码泄露!利用该漏洞,黑

OpenSSL 发现致命漏洞，三分之二互联网沦陷

由于互联网基础安全协议OpenSSL的漏洞存在时间较长,波及范围广(超过三分之二互联网站受到影响),攻击简便且不会留下痕迹,其对全球互联网尤其是网络金融和电子商务行业的冲击将难以估量. 研究者近日在互联网安全协议OpenSSL v1.0.1到1.0.1f的密码算法库中发现了一个非常严重bug(CVE-2014-0160),该bug允许攻击者读取存在bug的系统的64kb处理内存,暴露加密流量的密钥,用户的名字和密码,以及访问的内容. OpenSSL是Apache和nginx网络服务器的默认安全协

OpenSSL的大漏洞曝光

摘要: 有可能导致网络大混乱么?反复修改了自己的问题之后,我点击了发送. 片刻后,对话框里跳出一句回复现在已经乱了. 之后,是长久的寂静. 显然,网络对面那位顶级白帽(指以善 "有可能导致网络大混乱么?"反复修改了自己的问题之后,我点击了"发送". 片刻后,对话框里跳出一句回复"现在已经乱了." 之后,是长久的寂静. 显然,网络对面那位顶级白帽(指以善意方式使用自身技术的黑客),已经顾不上搭理我--在这个不眠之夜,Ta还有太多的事情要做. 201

一个检测OpenSSL心脏出血漏洞的Python脚本分享_python

什么是SSL? SSL是一种流行的加密技术,可以保护用户通过互联网传输的隐私信息.网站采用此加密技术后,第三方无法读取你与该网站之间的任何通讯信息.在后台,通过SSL加密的数据只有接收者才能解密. SSL最早在1994年由网景推出,1990年代以来已经被所有主流浏览器采纳. 什么是"心脏出血"漏洞? SSL标准包含一个心跳选项,允许SSL连接一端的电脑发出一条简短的信息,确认另一端的电脑仍然在线,并获取反馈.研究人员发现,可以通过巧妙的手段发出恶意心跳信息,欺骗另一端的电脑泄露机密信息

关于 OpenSSL“心脏出血”漏洞的分析

高危漏洞预警#昨日有国外黑客爆出OpenSSL存在一处内存泄漏漏洞,该漏洞可随机泄漏https服务器64k内存,内存中可能会含有程序源码.用户http原始请求.用户cookie甚至明文帐号密码等,已经有多个白帽给乌云君提供了漏洞影响证明,涉及大量互联网企业与电商,紧急!http://t.cn/8so46dR 原作者:Sean Cassidy 原作者Twitter:@ex509 原作者博客:http://blog.existentialize.com 来源:http://blog.existent

用户利益至上 百度手机浏览器率先修复安卓漏洞

硅谷网9月27日讯 近日,安卓平台曝出2类高危漏洞,该漏洞可导致手机浏览器存在泄露用户名.密码以及SD卡手机隐私信息的风险,给手机用户带来极大的安全隐患.对此,百度手机浏览器T5内核率先通过屏蔽本地恶意请求.过滤 Cookie非法访问.加密存储用户名密码等方式修复相关漏洞,给予用户更安全保护.同时,百度手机浏览器也提醒其他浏览器厂商对安卓平台此种漏洞予以重视. 据悉,此次爆发的安卓漏洞分别为本地恶意html漏洞和系统JS注入漏洞,在几乎所有手机浏览器中都存在.本地恶意html漏洞一旦遭黑客利用,

OpenSSL 1.1.0b又出漏洞了 OpenSSL内存分配漏洞将会导致本地DoS攻击

2016年10月12日,github上对OpenSSL 1.1.0分支进行了更新,修补了一个二次释放漏洞.该漏洞存在于版本OpenSSL 1.1.0b中,该版本是OpenSSL 1.1.0分支的最新版本.漏洞代码位于文件crypto/x509/x_name.c中,触发该漏洞需要一定的条件:内存分配失败.成功利用该漏洞可导致本地拒绝服务或本地信息泄露. 详情请见以下链接: https://github.com/openssl/openssl/commit/15ef80b5b12ddd1b9496c