Forrester：六种解决方案修复遭破坏的OpenSSL实施

ZDNET至顶网CIO与应用频道 04月14日 北京消息：Forrester Research 今天发布的新研究报告中估计，作为开源 SSL 实施的 OpenSSL 拥有巨大的市场份额 -在所有面向外部的门户网站中，至少有 50% 以某种方式使用 OpenSSL。该报告针对 “Heartbleed” (心脏出血)漏洞为企业提供解决方案来修复遭破坏的 OpenSSL 实施。

以下是有关报告的解决方案摘要：

• 重新编译 OpenSSL 库和/或升级 OpenSSL 商业软件。OpenSSL 组织已经发布了用以修复漏洞的缓解措施。但是，修复 Heartbleed（心血）漏洞的唯一方法是重新编译 OpenSSL 库（然后可能需要重新编译所有与已修复 OpenSSL 库连接的内部应用程序）和/或将 OpenSSL 商业软件升级为支持漏洞修复的最新版本。
• 联系合作伙伴，尤其是服务提供商。Heartbleed 漏洞同时会影响 web 应用程序以及硬件。受影响的系统可能必须被完全替换掉，而更令人不安的是，零售商库存中的现有设备也可能存在缺陷。
• 使用现有控件帮助降低Heartbleed 漏洞风险。例如，使用最新 Heartbleed 漏洞签名和过滤器升级 IPS 和防火墙设备。
• 务必对所有站点进行弱点扫描。各大弱点扫描供应商都已开始支持产品更新，以便安全专家探测其系统是否存在 Heartbleed 漏洞。
• 适时在全公司范围内强制执行密码变更。在应用 SSL 修复之前更改密码仍可能使用户受到攻击，同时造成安全假象。
• 在事故发生前、发生中和发生后进行通信。在未来几天内，鲜少有组织或个人能够免于 Heartbleed 漏洞的影响，修复该漏洞将继续成为每日新闻主题。对员工和客户保持信息透明，不要让他们总是在猜测贵组织正在为此采取怎样的措施。

根据该报告，Heartbleed 漏洞所造成的影响非常大，因为许多安全专家使用 安全套接层 / 传输层安全 (SSL/TLS) 协议为 web 服务器与Internet 浏览器之间传输的敏感信息进行加密，以保护电子商务、银行、保健及其它高风险交易。企业必须考虑到任何会用到 OpenSSL 易受攻击版本的个人版和企业版计算系统都必须考虑到其安全证书可能已遭到破坏，而需要修复。