我们如何指导我们的员工保护自己免受 Heartbleed 的伤害？

Question

欢迎来到心血来潮之后的世界。我们已经修补了我们的服务器并正在更换我们的 SSL 证书。但仅仅因为我们的服务器是固定的，并不意味着互联网的其余部分是固定的。我们有员工，他们使用互联网交换信用卡号和登录凭据等机密。他们正在向我们寻求建议。

我们可以建议我们的客户使用Heartbleed 测试页面来查看他们想要访问的站点是否存在漏洞。如果一个站点返回正面，则不要与其交换机密。但是，如果一个网站没有不对Heartnet返回正数，然后根据情况可以是任意的：

• 该站点从未有漏洞（好）
• 该站点存在漏洞并已修复，但仍在使用可能已损坏的 SSL 证书（错误）
• 该站点存在漏洞并已修复，并重新生成 SSL 证书但没有重新生成密钥（坏）
• 该站点存在漏洞，修复了它，重新生成了密钥，并更换了 SSL 证书。（好的）

有没有什么办法，我们可以给我们的员工，他们输入他们的信用卡号码前到表单，告诉良好的从场景坏的呢？

我们如何指导我们的员工尽量减少他们接触受 Heartbleed 破坏的服务器的风险？

Answer 1

本质上，不，没有一种方法可以区分好坏，因为您的用户无法完全了解他们正在使用的系统。

该漏洞造成的损害程度在很大程度上仍然未知，大部分损害可能是在过去造成的，并将在很长一段时间内继续影响互联网。我们只是不知道什么秘密被偷了，什么时候被偷了，被谁偷了。

例如：Google 的 OpenSSL 心脏流血了大约一年。未知的对手收集服务器并寻找有趣的秘密——同样，我们无法知道他们是否这样做了——直到他们找到属于有权访问另一个系统的人的帐户，比如 Twitter.com 或 AnyBank。 co.uk 或 dev.redhat.com。通过访问此类帐户，他们可能会继续挖掘、访问其他系统、造成其他损害（可见或不可见）、进一步危害其他帐户 - 没有人怀疑违规的根源。在这个阶段，您已经远离流血的 OpenSSL 服务器，这是 Heartbleed 的更严重后果之一。除此之外还有服务器私钥被泄露的风险。

信任需要很长时间才能建立，而且很快就会失去。我并不是说我们之前在互联网上没有信任问题，但 Heartbleed 绝对没有帮助。修复损坏需要很长时间，了解这一点是了解如何保护自己和员工/客户/老板等的一部分 - 以及如何不能。有些事情是您可以控制的，以限制您对漏洞的暴露，有些事情您无法控制——但它们仍然会影响到您。例如，您无法控制其他人决定如何应对此漏洞——据报道，美国国家安全局发现了该漏洞，但保持沉默。这对我们其他人来说非常糟糕，但我们没有办法保护我们免受它的侵害。

作为互联网用户，您可以而且应该：

• 了解有多糟糕错误
• 不要回复/点击电子邮件中的链接告诉您重设密码——而是直接访问公司/组织的网站并主动重设您的密码。这些骗子喜欢钓鱼的时代
• 检查您的 Android 手机是否有 Heartbleed。Lookout Mobile Security有一个应用程序可以检查您的 OpenSSL 版本。

• 检查您访问的有关 Heartbleed 的网站（不完整的清单）：

  1. 服务器是否使用 OpenSSL？

     • 否：您不会直接受到影响（受此错误影响）。继续使用该站点，但更改您的密码，以防另一台直接或间接受该错误影响的服务器可以访问您的密码。当然，这假设该网络上的所有此类服务器都已打补丁、颁发了新证书……等等。
     • 是：转到 2。

  2. 服务器是否在无 Heartbleed 版本的 OpenSSL 上？确保您的 check-for-heartbleed-tool 实际检查漏洞而不是 HTTP 标头或其他一些“指标”。

     • 否：不要向网站提交任何机密，但如果可能，请向网站管理员提交说明。
     • 是：转到 3。

  3. 以前版本的 OpenSSL 有 Heartbleed 吗？

     • 否：一些管理员没有升级到最新的 OpenSSL 版本，因为它没有经过足够长的现场测试。他们的服务器从来不会受到这个错误的影响，但由于上述原因，您最好更改密码。
     • 是：服务器易受攻击，在升级到易受攻击的版本和泄露时间（最多两年，甚至三年）之间，任何内存中的数据都可能遭到破坏。

在这里，我们回到信任：当你失去某人的信任时，这是一件坏事。特别是如果那个人是你的用户/客户/老板。要重新获得他们的信任，您必须重新开始构建，并打开对话。

以下是网络管理员可以发布的内容以开始使用：

• 以前的 OpenSSL 版本（易受攻击/不易受攻击）
• 当前版本和更新时间

如果之前版本的 OpenSSL 存在漏洞：

• 当前 SSL 证书的生成时间
• 旧证书被吊销的详细说明
• 保证新的证书用于新的秘密
• 基于以上信息对用户的建议

如果您是用户，您完全有权要求提供此类信息，为了服务的所有用户，您应该这样做。这将增加安全社区的可见性，并使用户更容易最大限度地减少对受感染服务器的暴露。