专家形容OpenSSL漏洞:地震级 门锁窗户没关

4月8日，常用于电商、支付类接口等安全性极高网站的网络安全协议OpenSSL被曝存在高危漏洞，众多使用https的网站均受影响，大量用户信息陷于“裸奔”，引发网民恐慌。记者采访了解到，在网站和安全厂商的协作下，三分之一受影响的网站已完成修复，使众多网友陷入恐慌的“心脏失血”正趋于可控。

面对此次被称为“心脏出血”的高危漏洞，中国计算机学会计算机安全专业委员会主任严明说，这个漏洞是地震级别的，就像家里的门很坚固也锁好了，但是发现窗户虚掩着。

南京翰海源信息技术有限公司创始人方兴表示，此漏洞并不是因为算法被攻破，而是由于程序员在设计时没有做长度检查而产生漏洞，其危害性不容小觑。

北京知道创宇信息技术有限公司研究部总监余弦坦言，问题在于这个漏洞出现于2012年，至今两年多，谁也不知道是否已经有黑客利用漏洞获取了用户资料；该漏洞即使被入侵也不会在服务器日志中留下痕迹，所以目前还没有办法确认哪些服务器被入侵，也就没法定位损失、确认泄露信息。

目前看来，该漏洞确已被很多黑客利用。网络安全领域资深人士透露，由于OpenSSL漏洞的出现，在8日、9日地下交易市场中，各种兜售非法数据的交易显得异常火爆，比如一份某省工程类人员的信息数据，清晰显示出大量人员的姓名、身份证号码等。北京知道创宇信息技术有限公司首席执行官杨冀龙说，目前的监测显示，某宝的网站被黑客盗取了1T的内存，雅虎邮箱的大量账户密码也曝已经泄露。

面对“地震级”漏洞，各网站和安全厂商均采取紧急措施，目前整体形势已趋于可控。

专家指出，即使用户之前登陆的网站发生泄密，因为黑客掌握的账号密码的数量庞大，短时间内无法消化使用，所以对于单个用户而言尽快更改密码设置是非常必要的。但是，对于一些邮箱类网站，即使更改密码可能也无济于事，因为如果黑客已经偷走了cookie缓存，用这个可以直接登录邮箱。建议用户对邮箱再登陆一次，然后点击退出登陆，减少风险。

据新华社北京4月10日电