openssl_openssl使用详解(openssl)

1.近日，安全协议OpenSSL爆出今年最严重的安全漏洞“心脏出血”。利用这个漏洞，黑客坐在自家电脑前就可以实时获取用户https开头的登录账号的很多密码，包括网银、知名购物网站、电子邮箱等信息，相当于信用卡信息公开的程度，分分钟损失几十万的节奏。据360网站安全检测平台统计，全国120万个授权网站被扫描，其中11440个网站主机受到该漏洞影响。

2.目前，包括阿里巴巴、腾讯和其他大型互联网服务提供商在内的大量国内网站已通过关伟宣布，OpenSSL漏洞已被修复。中国金融认证中心发文称，网银受影响较小，u盾可放心使用。为什么这个漏洞被称为“心脏出血”漏洞？危害有多大？OpenSSL到底是什么？以下为您全面解读。

3.什么是SSL？什么是OpenSSL？

4.SSL是一种流行的加密技术，安全套接字层(Secure Socket Layer Protocol)的缩写，可以保护用户通过互联网传输的隐私信息。SSL由Netscape于1994年首次推出，自20世纪90年代以来被所有主流浏览器采用。目前，该技术广泛应用于各大网上银行、网上支付、电子商务网站、门户网站、电子邮箱等重要网站。用户在访问一些安全的网站时，会在网址旁边看到一个“锁”，表示你在网站上的所有通信信息都是加密的。这种“锁定”表示第三方无法读取您和网站之间的任何通信信息。在后台，SSL加密的数据只能由接收方解密。

5.大多数SSL加密的网站使用一种叫做OpenSSL的开源软件包。OpenSSL是一种为网络通信提供安全性和数据完整性的安全协议。它包括主要的加密算法、公共密钥和证书封装管理功能以及SSL协议，并为测试或其他目的提供了丰富的应用程序。

6.什么是“心脏出血”漏洞？

7.大多数SSL加密的网站使用一种叫做OpenSSL的开源软件包。该软件中存在此安全漏洞，使得攻击者能够远程读取易受攻击版本的openssl服务器内存中的64K数据。大约两年前OpenSSL就有这个缺陷。它的工作原理是SSL标准中包含了心跳选项，允许SSL连接一端的电脑发送短消息，确认另一端的电脑仍然在线，并得到反馈。研究人员发现，恶意心跳信息可以通过巧妙的手段发送，欺骗另一端的计算机泄露机密信息。受影响的计算机可能被欺骗并发送服务器内存中的信息。

8.面对这个漏洞，用户应该怎么做？

9.因为这个漏洞存在于存储大量隐私信息的服务器中，而最流行的两个web服务器Apache和nginx都使用OpenSSL，所以危害很大。不幸的是，如果用户访问受影响的网站，他们无法采取任何自我保护措施。受影响网站的管理员需要升级他们的软件，为用户提供适当的保护。

10.但是，一旦受影响的网站修复了这个问题，用户就可以通过更改密码来保护自己。攻击者可能已经截获了用户的密码，但用户没有方法知道自己的密码是否被他人窃取。

- END -