OpenSSL新高危漏洞允许攻击者冒充信任的网站和服务


OpenSSL新高危漏洞允许攻击者冒充信任的网站和服务

OpenSSL项目公布了最新的高危安全漏洞,该漏洞允许攻击者冒充加密保护的网站、电子邮件服务和VPN。该漏洞只影响今年6月中旬发布的版本,使用旧版本的用户反而是安全的。OpenSSL称,在证书验证过程中,如果第一次尝试失败OpenSSL将会试着寻找替代的证书链,但实现中的错误使得攻击者能绕过对不信任证书的检查,攻击者可以让无效的证书伪装成属于信任的CA,去向任意网站发行伪造证书。虽然该漏洞看起来很可怕——向任意网站发行证书——但在实际中很难被利用,流行的浏览器默认使用的是BoringSSL,而BoringSSL没有受到影响,此外Android设备使用的OpenSSL也没有受到该漏洞的影响。

评论

此博客中的热门博文

陈先生的抢救室|膜蛤文化流行背后的社会学意味

【河蟹档案】70后的痛:你硬时政策比你硬,政策软时你还软

Long live shadowsocks