借 WiFi 心脏出血漏洞复燃

作者:浮夸的晓编 分类:移动互联网 发布于:2014-6-2
  在安全公司Codenomicon和谷歌安全工程师发现了“心脏出血”(Heartbleed)漏洞,并提交给相关管理机构整整7周后,这一漏洞似乎依旧在给人们制造问题。据葡萄牙互联网安全研究人员刘易斯-格兰吉亚(Luis Grangeia)透露,黑客可以利用这一漏洞通过WiFi展开类似的攻击行为。

  据悉,格兰吉亚所发现的新型攻击形式被称为“Cupid”。“Cupid”的攻击步骤与“心脏出血”完全一致,只不过前者主要利用的不是开放Web,而是WiFi网络展开攻击。比如,该漏洞允许黑客截取Android设备和路由器之间的通信数据。同时,黑客也能够获悉目标设备存储在内存上的部分信息,因此而有可能导致用户的个人认证凭证、个人信息遭到泄露。

  目前,格兰吉亚已经针对自己的发现发布了一份研究报告,并敦促设备供应商和网络管理方尽快升级自己的现有设备。

  到目前为止,我们尚不清楚有多少设备会受到这一漏洞的影响,但相信“Cupid”所造成的负面影响要比“心脏出血”减轻许多。分析人士认为,最有可能遭遇类似漏洞入侵是那些采用可扩展认证协议(EAP)的路由器,这类路由器通常需要用户名和密码才能够正常工作,但这一漏洞却可以利用“心脏出血”漏洞绕过这一安全机制。

  格兰吉亚所担心的另一个方面是,目前运行Android 4.1.1的设备也面临着遭受“心脏出血”漏洞的影响。比如,黑客可以利用这一漏洞架设一个公开的WiFi网络,一旦用户手机连接了这一网络后,黑客便有可能从设备中读取数据。可以肯定的是,虽然许多用户已经在“心脏出血”漏洞最先被披露的时候升级了系统,但目前仍然有数百万之巨的Android设备运行着该操作系统。

  备注:Heartbleed(心脏出血)漏洞:今年4月初,安全公司Codenomicon的工程师安蒂·卡加莱能(Antti Karjalainen)在正常的工作时,却偶然发现了互联网史上最大的安全漏洞——Heartbleed(心脏出血)漏洞。Heartbleed漏洞影响了被广泛使用的开放源代码SSL安全套件OpenSSL的加密协议。简言之,这个漏洞可以诱使服务器将其内存中的数据溢出来,从而可能让黑客掌握这一漏洞,并进一步窃取诸如信用卡和密码等之类的敏感信息。