互联网安全锁现漏洞 这两天最好不用网上支付?

• 互联网安全
• 心脏出血
• 网上支付
• 漏洞

昨日，被称为“心脏出血”的openssl协议安全漏洞引发了人们对网上支付的担忧。传言称，这个漏洞“波及几乎所有网站”，用户“不登录还好，一登录网站就有可能导致用户名和密码失窃”。截至昨日18时12分，百度搜索关键词“openssl漏洞”已有约159000条结果。网上的建议是：“这两天千万不要登录一切涉及网银电商的网站，忍到这些网站修补漏洞后再彻底更换密码。”这个建议靠谱吗？南方日报记者就此采访了电商、银行和互联网安全业内人士。

建议待网站修补漏洞后改密码

据了解，目前“心脏出血”安全漏洞已被正式命名为cve-2014-0160。openssl紧急发布了1.0.1g版本修复这一问题，但网站对这一软件的升级还需要一段时间。

业内人士建议，普通用户暂时不要急于更换密码，要等相关网站完成修补安全漏洞之后再行更换。如果网站还未修复漏洞，修改密码的操作可能导致新密码被窃。

国内一家安全企业研究部总监余弦表示，经检测，中国有至少3万台服务器“带病”工作，它们分布于银行网银系统、第三方支付、电商网站中。漏洞修补期间，确认有关网站安全之前，不要使用网银、电子支付和电商购物等功能，以避免用户密码被黑客窃取。“一位银行朋友告诉我，他们补上这个漏洞需要两天时间。这两天大家最好就别登录网银了。如果已经登录过了，那就考虑换一下密码吧。”

同时，业内人士建议，诸如支付宝、邮箱等重要服务最好绑定手机，尽可能开通手机验证或动态密码，登录时不仅需要验证用户名和密码，还应通过手机验证码登录。此外，个人用户应密切留意未来数日的财务报告，因为攻击者可以获取服务器内存中的信用卡信息。对于银行卡的陌生扣款，应特别关注。

回应多家公司称已修复漏洞

对于openssl存在的漏洞，昨日，阿里巴巴、百度、当当网等公司均表示，已经在第一时间对漏洞进行了修复。

阿里巴巴集团安全应急响应中心回应称，关于openssl某些版本存在基于基础协议的通用漏洞，阿里各网站已经在第一时间进行了修复处理，包括淘宝、天猫、支付宝等各大网站都确认可以放心使用。

百度钱包随即也发布声明称，“近日，openssl漏洞已排山倒海向互联网安全界袭来，攻击者可持续读取服务器内存数据，窃取用户cookie、口令等敏感数据，已确定1.0.1—1.0.1f，1.0.2beta1版本均在此列。百度钱包在这次风暴中未受影响，请大家继续安心使用。”当当网表示，目前并未收到任何有关此漏洞的信息，客服也未接到相关投诉，具体细节还需与技术进行了解。

昨日，南方日报记者向各大银行了解相关情况，不少银行表示并未因此受到影响。“目前一切正常，还没有客户咨询这个事情。”某股份制银行负责人向记者透露，很多银行的网银除了常规的密码，还有动态密码和ukey，加上银行自身后台防火墙和监测能力很强，日常支付需要手机验证码等安全措施，因此使用网银支付不必太担心。

广发银行回复南方日报记者表示，漏洞曝出后该行立即组织力量对网上银行、手机银行等互联网应用系统展开了风险排查。经排查，其互联网应用系统未发现该漏洞，广发银行网上银行、手机银行等重要互联网支付渠道不受影响。

■链接

openssl：互联网“安全锁”

openssl是为网络通信提供安全及数据完整性的一种安全协议，囊括主要的密码算法、常用的密钥和证书封装管理功能以及ssl协议，因其开源、实用的特性，目前被各大网银、在线支付、电商网站、门户网站、电子邮件等重要网站广泛使用。可以说，openssl是目前互联网上销量最大的门锁，而此次曝出的安全漏洞，可以让特定版本的openssl成为无需钥匙即可开启的“废锁”。黑客通过入侵使用特定版本openssl，每次可以浏览用户的64k信息，只要有足够的耐心和时间，就可以翻出足够的数据，大量以https开头的网站，都有可能被黑客利用漏洞盗取用户账号、银行密码、邮件信息等敏感数据。