美国国家安全局被曝至少在两年前已经知晓OpenSSL“心脏出血”漏洞的存在，并且定期利用该漏洞获取重要情报。
两名不愿透露姓名的内部人士爆料，美国国家安全局NSA早已在两年前就得知“心脏出血”（Heartbleed）漏洞的存在，且一直隐蔽地利用漏洞来窃取密码和收集数据。报道显示，当漏洞2012年首次现身时，NSA就发现该漏洞并一直保留访问权限。
漏洞在未被爆出并修复之前（上周），包括Gmail和亚马逊在内的众多服务器都可以被其攻击。这使得NSA几乎可以访问网络上三分之二的加密服务器。报道同时指出“心脏出血”漏洞仅仅是冰山一角，安全局还有上千个类似的漏洞记录在案，用以收集重要的情报。
安全局拥有的资源优势可以让其轻易发现此类漏洞，有“黑色预算”的支持，该局每年在数据处理和获取上耗资达16亿美元，远超出OpenSSL项目每年的预算。这个巨大的差距让人们不得不怀疑国家安全局在信息防卫战中所扮演的角色。据一位前空军信息官透露，“计算机安全社区在这方面完全无能为力”。
“心脏出血”被认为是近年来最严重的互联网安全危机，全世界几乎三分之二的网站都受到影响。4月8日，经常用作电商、支付类接口等安全性极高网站的网络安全协议OpenSSL被曝存在高危漏洞，众多使用https的网站均可能受到影响。这一消息使消费者开始修改密码，加拿大政府决定暂停在线报税申请，并迫使一些科技公司比如思科等忙于给系统打补丁。
美国国家安全局却利用这一漏洞获取密码以及其它基本资料来帮助完成其复杂的黑客行动。但是，这一行为的代价却是置百万普通民众的信息安全于不顾：他们极有可能遭受来自其它国家情报机构及黑客的攻击。
美国国安局的发言人拒绝对是否使用这一漏洞发表评论，但是，报道称美国国家安全局以及其它情报机构每年花费数千万美金来寻找可能盗取电脑数据的软件漏洞。像OpenSSL这样的开源数据协议更是国安局的主要查询目标。
几天前，Codenomicon和谷歌安全部门（Google Security）的研究人员在开源软件包OpenSSL里发现了一个存在两年的安全漏洞，这一软件包被全球上百万个网站的加密协议所使用。
OpenSSL软件被很多流行的社交网络网站、搜索引擎、银行和网上购物网站用于保护个人和财务数据安全。这使得知道这一漏洞存在的人可以从网络服务器里窃取用户名、密码、信用卡信息和其他各种敏感信息。一旦被窃取，这些密钥将被不法分子用于解密网站服务器和网站用户之间传输的数据。
评论 (0)