Heartbleed测试网站在数小时内被窃走私钥

jopen 8年前

  OpenSSL Heartbleed 漏洞的危险程度被安全专家称为是“灾难级”,攻击者能利用该漏洞窃走受影响网站的用户密码和私钥,此前的研究发现用户明文密码确实会暴露,但窃取私钥尚未有报道。云计算公司 CloudFlare 发起了一个 Heartbleed 挑战赛,使用 nginx Web 服务器和存在漏洞的 OpenSSL 版本搭建了一个网站,邀请挑战者通过攻击窃取私钥。

  结果短短几小时私钥就被安全研究人员成功窃取,至今有 4 个人通过了挑战: 软件工程师 Fedor Indutny 发送了至少 250 万次请求, Ilkka Mattila 发送了约 10 万次请求,另外两位是剑桥大学博士生 Rubin Xu 和安全研究员 Ben Murphy。这项挑战赛显示,使用存在漏洞的 OpenSSL 版本的网站应该废除所有旧私钥和证书。

来自: Solidot