Heartbleed漏洞的原理与防治

◆李维峰

（中国飞行试验研究院 陕西 710089）

1 SSL 简介

SSL是Secure Sockets Layer（安全套接字层）的缩写，是一系列加密技术，可让Web用户保护其在Internet上传输的信息的隐私。

当用户访问安全网站（例如mail.aliyun.com）时，URL旁会显示一个锁，表明用户与该站点的通信已加密。这是Safari浏览器中的外观：

图1 SSL在网站中的应用

该锁应该表明第三方将无法读取您发送或接收的任何信息。在后台，SSL通过将您的数据转换为只有收件人知道如何解密的编码消息来实现此目的。如果恶意方正在听对话，它将仅看到看似随机的字符串，而不是电子邮件，论坛帖子，信用卡号或其他私人信息的内容。SSL由Netscape于1994年引入。近年来，主流在线服务已趋向于默认使用加密。

如果正确实施，则认为SSL是高度安全的。但是对于SSL安全而言，2014年是糟糕的一年。Heartbleed不是那年发现的唯一安全漏洞。2月，在Apple的SSL实施中发现了一个严重缺陷。一个月后，在另一个SSL实例中发现了另一个漏洞，该实例在开源操作系统中很流行。

2 OpenSSL 简介

OpenSSL是允许计算机使用SSL加密标准进行通信的软件。这是一个由志愿者创建和维护的开源项目。它于1998年首次发布，现已成为世界上最受欢迎的SSL实现之一。

OpenSSL被广泛使用。原因之一是它已被合并到其他各种软件产品中。例如，两个最受欢迎的Web服务器软件包，Apache和nginx，都使用OpenSSL加密网站。

在发生Heartbleed攻击时，OpenSSL网站仅列出了15位活跃的开发人员，其中大多数是自愿为该项目做出贡献的。但是，并非所有对OpenSSL软件所做的更改都是由这15个人编写的。

考虑到备受瞩目的商业软件项目通常需要数十甚至数百人来进行工作，因此，OpenSSL团队在2012年推出新版本的软件时没有注意到细微的Heartbleed错误就不足为奇了。……