昨天报道的TLS中间人攻击 (CNBETA), 今天OpenSSL已经有了补丁, 速度挺快.
不过这个补丁并不是从协议上修补了漏洞,而只是默认情况下关闭了renegotiation.我们推荐所有使用OpenSSL的用户(网站,或者客户端软件),尽快下载更新到最新版的OpenSSL.
下载地址: http://www.openssl.org/source/
当然此前也有过讨论, 简单地关闭掉Renegotiation肯定会在某些应用场景下打来一些功能性的问题. 我们推荐在应用补丁之前进行比较充分的测试. 同时,即便是出现了功能性问题, OpenSSL也为此提供了解决方案, 如果出现问题,只需"set a flag and -hup!"
另外, 正如同牛人们(Tom Cross@ISS, Yunshu)指出的那样, 这个漏洞也没什么大不了, 效果更像是CSRF.
什么是CSRF:
CSRF(Cross-site request forgery跨站请求伪造,也被称成为“one click attack”或者session riding,通常缩写为CSRF或者XSRF,是一种对网站的恶意利用。尽管听起来像跨站脚本(XSS),但它与XSS非常不同,并且攻击方式几乎相左。XSS利用站点内的信任用户,而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比,CSRF攻击往往不大流行(因此对其进行防范的资源也相当稀少)和难以防范,所以被认为比XSS更具危险性。
【编辑推荐】