网络安全事件报告.pdfVIP

网络安全事件报告 2014 年上半年发生了很多重大的数据安全事件。包括 eBay 在内 的大牌零售商以及 Neiman Marcus 等多家酒店的用户信息遭到入侵 泄漏，这些信息包含了大量用户的信用卡数据，这将带来无法估量的 经济损失。 黑客泛指擅长IT 技术的人群、计算机科学家。Hacker 们精通各 种编程语言和各类操作系统，伴随着计算机和网络的发展而产生成长。 黑客一词在圈外或媒体上通常被定义为：专门入侵他人系统进行不法 行为的计算机高手。不过这类人士在 hacker 眼中是属于层次较低的 cracker （骇客）。如果黑客是炸弹制造专家，那么骇客就是恐怖分子。 除了黑客的主 攻击，2014 年的数据恐慌中也存在着主动丢 失问题。这里为大家总结了 2014 年最让人震惊的网络安全事件。 2OpenSSL 出现“Heartbleed” OpenSSL 出现“Heartbleed” OpenSSL 出现“Heartbleed” 来自 OpenSSL 的紧急安全警告：OpenSSL 出现“Heartbleed”安 全漏洞。这一漏洞让任何人都能读取系统的运行内存。已经有了一个 紧急补丁，在安装它之前，成千上万的服务器都处于危险之中。 该漏洞在互联网又称为“heartbleed bug”，中文名称叫做“心脏出 血”、““击穿心脏””等。 Heartbleed 漏洞，这项严重缺陷(CVE-2014-0160)的产生是由于 未能在 memcpy()调用受害用户输入内容作为长度参数之前正确进行 边界检查。攻击者可以追踪 OpenSSL 所分配的 64KB 缓存、将超出必 要范围的字节信息复制到缓存当中再返回缓存内容，这样一来受害者 的内存内容就会以每次 64KB 的速度进行泄露。 Heartbleed 漏洞是由安全公司 Codenomicon 和谷歌安全工程师 发现的，并提交给相关管理机构，随后官方很快发布了漏洞的修复方 案。2014 年 4 月 7 号，程序员 Sean Cassidy 则在自己的博客上详细描 述了这个漏洞的机制。 2014 年 4 月 9 日，Heartbleed （意为“心脏出血”）的重大安全漏 洞被曝光，一位安全行业人士在知乎上透露，他在某著名电商网站上 用这个漏洞尝试读取数据，在读取 200 次后，获得了 40 多个用户名、7 个密码，用这些密码，他成功地登录了该网站。 3TrueCrypt 商店的红色警报 TrueCrypt 商店的红色警报 TrueCrypt ，是一款免费开源的加密软件，同时支持 Windows Vista,7/XP, Mac OS X, Linux 等操作系统。TrueCrypt 不需要 生成任何文件即可在硬盘上建立虚拟磁盘，用户可以按照盘符进行访 问，所有虚拟磁盘上的文件都被自 加密，需要通过密码来进行访问。 TrueCrypt 商店的红色警报 TrueCrypt 提供多种加密算法，包括： AES-256, Blowfish (448-bit key), CAST5, Serpent, Triple DES, and Two fish，其他特性还有支持 FAT32 和 NTFS 分区、隐藏卷标、热键启 等。 FBI 在经过一年的尝试后，还是未能破译被巴西执法机构指控 金融犯罪的巴西银行家的加密文件。巴西一家葡萄牙语报纸报道（葡萄 牙语），巴西联邦警察在 2008 年 7 月展开的 Satyagraha 行 中，在银 行家 Daniel Dantas 位于里约热内卢的公寓内收缴了 5 个硬盘。文章提 到硬盘使用了两种加密程序，一种是 TrueCrypt，另一种是不知名的 256 位 AES 加密软件。在专家未能破解密码后，巴西政府在 2009 年初 请求美国提供帮助，然而美国联邦警察在一年不成功的尝试后，退还 了硬盘。巴西现有的法律中不存在强制要求 Dantas 交出密码的规定。 流行的开源加密软件 TrueCrypt 突然在其官网上建议 Windows 用