国产情侣真实露脸在线,亚洲欧美成人综合久久久,中文毛片无遮挡高潮免费,亚洲人成影院在线无码按摩店

關于OpenSSL加密算法破解漏洞的安全公告

2016-02-01 17:11:38

安全公告編號:CNTA-2016-0005

近日，國家信息安全漏洞共享平臺（CNVD）收錄了OpenSSL存在的加密算法破解漏洞（CNVD-2016-00711，對應CVE-2016-0701）。遠程攻擊者可利用該漏洞，獲取加密密鑰，并發(fā)起后續(xù)攻擊，獲得用戶的敏感信息。

一、漏洞情況分析

OpenSSL是一個實現(xiàn)安全套接層和安全傳輸層協(xié)議的通用開源加密庫，可支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。

OpenSSL存在一處加密算法破解漏洞，但是該漏洞需要同時滿足以下條件：OpenSSL版本為 1.0.2-1.0.2e；依賴于openssl的應用程序的簽名算法生成的臨時密鑰必須基于Diffie Hellman密鑰交換算法。默認情況下，由于服務器會重復使用相同的臨時密鑰，這使得服務器容易受到密鑰覆蓋攻擊。當滿足上述條件后，攻擊者可以通過服務器發(fā)送大量的握手請求，當有足夠多的計算數(shù)據(jù)完成后，攻擊者可以獲取部分密鑰值，并結(jié)合其結(jié)果與中國剩余定理最終推導出解密密鑰。

?CNVD對該漏洞的綜合評級為“高危”。

二、漏洞影響范圍

漏洞影響OpenSSL1.0.2-1.0.2e版本。由于OpenSSL廣泛應用于一些大型互聯(lián)網(wǎng)企業(yè)的網(wǎng)站、VPN、郵件、即時聊天等類型的服務器上，因此對服務提供商以及用戶造成的威脅范圍較大，影響較為嚴重。比如：封裝OpenSSL應用的Apache服務器，雖然開啟了SSL_OP_SINGLE_DH_USE選項，但用戶需要檢查是否使用不同的私鑰算法；而LibreSSL代碼庫以及OpenSSL衍伸出的BoringSSL代碼庫以及，則將SSL_OP_SINGLE_DH_USE選項選項棄用，會受到漏洞影響。此外，基于DSA 的Diffie-Hellman配置也依賴靜態(tài)Diffie-Hellman密鑰交換算法套件，相關應用也會受到影響。

三、漏洞修復建議

目前，廠商已發(fā)布了1.0.2f版本修復該漏洞，CNVD建議相關用戶及時下載使用，避免引發(fā)漏洞相關的網(wǎng)絡安全事件。

https://www.openssl.org/source/

附：參考鏈接：

https://www.openssl.org/news/vulnerabilities.html#y2016

http://arstechnica.com/security/2016/01/high-severity-bug-in-openssl-allows-attackers-to-decrypt-https-traffic/??

http://intothesymmetry.blogspot.com/2016/01/openssl-key-recovery-attack-on-dh-small.html??

http://www.freebuf.com/vuls/95320.html??

http://www.cnvd.org.cn/flaw/show/CNVD-2016-00711