Linux漏洞威胁网银安全 SSL证书遽需替换 - 开源业界与评论

版主－大法师

UID：149458
注册：2004-4-7
最后登录： 2008-08-29
帖子：9782
精华：6

可用积分：9399 (腰缠万贯)
信誉积分：100
空间积分：0 (白手起家)
专家积分：0 (本版)

来自：CAU
状态：...在线...

[资料] [站内短信] [Blog]

1楼发表于 2008-5-23 14:41

上周业内发现的一个影响Linux操作系统中特定Debian版本生成加密密钥对的严重漏洞，黑客可以利用这个漏洞查看加密的交易数据，更可能进一步秘密盗取消
费者密码、金融帐号、信用卡号和社保号。

尽管威瑞信 SSL、代码签名和客户端证书品牌(包括威瑞信, GeoTrust, thawte和RapidSSL) 使用的根和中级根证书不会受这个安全问题影响，但是部分客户可能使用有漏洞风险的Linux操作系统版本来生成证书的密钥对。因此可能使得客户鉴别、加密和数字签名交易让黑客有机可趁。

为持续保护威瑞信或旗下其它证书品牌客户涉及的所有网上交易，威瑞信公司宣布免费吊销和更换任何SSL、代码签名或客户端证书。采用威瑞信 SSL的公司可以调查自己的认证和加密方式，并直接从威瑞信更换任何必要的证书。此免费方案有效期截止到2008年6月30日。

这次漏洞影响所有在2006年9月17日到2008年5月12日之间发布的Debian操作系统版本以及衍生版本(如Ubuntu)上所有生成密钥对的应用软件。尽管此次安全漏洞的责任在于提供这些Linux操作系统版本的厂商，但各个网站运营商应确保安装最新发布的补丁程序并修复漏洞，从而替换有漏洞的部分，使用安全的SSL证书。

威瑞信公司SSL高级副总裁Chris Babel表示： “威瑞信、GeoTrust、thawte或RapidSSL证书内部不存在基本漏洞，我们深刻认识到互联网安全对电子商务的成功的重要性。因此，我们决定免费更换任何有问题的SSL证书。任何不安全的证书都应该立即替换，尤其电子商务企业更应该马上行动，我们鼓励他们尽快采取措施。”

Babel进一步表示：“为不间断保证全球电子商务的安全，我们推荐其它品牌证书的所有者立即进行细查，确定证书是否安全并能够继续使用。同样，我们推荐所有自行签发证书的签发机构，立即调查是否存在类似的漏洞。网站运营商应与证书签发机构联系，确定是否在Debian或衍生操作系统上签发受信根和中级根证书。如果发现证书签发机构的根证书存在此种安全问题，建议管理员立即中止使用这些证书，更换另一个安全的证书签发机构签发的证书。”

来源：计世网

您对本贴的看法：鲜花[0] 臭蛋[0]

空间积分可以换礼品了！ | 有奖跟帖：服务器节能，奖50-100元图书 | 致电800-858-2903,了解DELL如何为你量身订制笔记本 | 送2G U盘

liubingqian