OpenSSL Heartbleed漏洞攻击原理及防范方法研究

OpenSSL是一套开放源代码的安全套接字层密码库,以C语言所写成,实现了基本的传输层数据加密功能。OpenSSL被广泛应用于各大网银、在线支付、电商网站、门户网站、电子邮件等领域,因此它的安全可靠性非常重要。OpenSSL的漏洞可能引发很大的网络灾难,因此非常有必要对它的安全漏洞进行研究。介绍了最新发现的基于OpenSSL的Heartbleed漏洞攻击原理与防范方法。首先介绍了OpenSSL概念,然后分析了Heartbleed攻击原理,最后介绍了修补Heartbleed攻击漏洞的方法。     

OpenSSL漏洞的分析与补救

OpenSSL高危漏洞是近年来较严重的漏洞之一,波及范围广泛,影响用户较多,且不分地域不分国界,堪称是互联网的一场浩劫。笔者从背景、原理、验证、影响、补救、参考等方面,针对OpenSSL漏洞进行逐层剖析。     

Load-to-store:store buffer暂态窗口时间泄露的利用

为了研究现代处理器微架构中的漏洞并制定对应防护，针对负责管理访存指令执行顺序的内存顺序缓冲（MOB）进行分析，发现前向加载会把存在依赖的store指令的数据直接旁路到load指令，推测加载会提前执行不存在依赖的load指令，在带来效率优化的同时，也可能导致执行出错与相应的阻塞。针对Intel Coffee Lake微架构上现有MOB优化机制，分析如何利用内存顺序缓冲的4种执行模式与对应执行时间，构造包括暂态攻击、隐蔽信道与还原密码算法私钥的多种攻击。利用MOB引发的时间差还原内存指令地址，该地址可泄露AES T表实现的索引值。在Intel i5-9400处理器上对OpenSSL3.0.0的AES-128进行了密钥还原实验，实验结果显示，30 000组样本能以63.6%概率还原出一个密钥字节，且由于内存顺序缓冲的特性，该利用隐蔽性优于传统cache时间泄露。     

“心脏出血”漏洞的危害、应对及影响

有人戏称,2014年4月8日是我国黑客和白帽子们的不眠之夜。之所以令众多网络安全界人士神经紧绷,其原因是：这一天的早上微软宣布Windows XP停止服务,XP系统安全陷入＂裸奔＂状态;晚上,OpenSSL（＂心脏出血＂）的漏洞消息在网络上不胫而走。4月8日晚10时48分,www.solidot.org网站公布了OpenSSL组件存在严重安全漏洞,可能导致用户的加密通信信息暴露给攻击者。为了提高广大用户的防范意识,保护用户私密信息安全,文中对OpenSSL＂心脏出血＂漏洞的相关技术、应对方法及其影响进行了梳理和分析。     

大规模数据泄露轮番上演过半手机用户无意识“裸奔”?

用户姓名、身份证号码、银行卡卡号、账号密码……从上月的携程用户支付信息泄露,到近日的本年度最严重的全球互联网安全协议OpenSSL漏洞,数据泄露事件正不断上演。在当下业界不断关注网络安全的同时,其实在去年,大规模数据泄露便已露出苗头。     

mVul Sniffer：一种多类型源代码漏洞检测方法

针对现有基于深度学习的源代码漏洞检测方法使用的代码切片不能全面覆盖漏洞类间细微差异特征，且单一深度学习检测模型对跨文件、跨函数代码语句间较长的上下文依赖信息学习能力不足的问题，提出一种多类型源代码漏洞检测方法。首先，基于程序依赖图中的控制依赖和数据依赖信息，抽取包含可区分漏洞类型的细粒度两级代码切片。其次，将两级切片转化为初始表示向量。最后，构建适用于两级代码切片的深度学习漏洞检测融合模型，实现对多类型源代码漏洞的准确检测。在多个合成数据集及2个真实数据上的实验结果表明，所提方法的检测效果优于现有的多类型源代码漏洞检测方法。     

基于内存操作的动态软件水印算法

提出了一种基于内存操作的动态软件水印算法,算法通过控制本地代码程序中的内存分配释放和使用等行为隐藏软件水印。定义了动态簇、簇间内存关系、内存关系矩阵等概念,详细描述了软件水印的嵌入和提取过程。分析了算法的平台依赖性、可信性、数据率、开销,并通过实验对该算法的隐蔽性和抗攻击能力进行了探讨。     

两阶段二进制物联网固件漏洞检测方法研究

物联网(internet of things, IoT )设备漏洞带来的安全问题引发了研究人员的广泛关注,出于系统稳定性的考虑,设备厂商往往不会及时更新IoT固件中的补丁,导致漏洞对设备安全性影响时间更长;同时,大部分IoT固件文件源码未知,对其进行漏洞检测的难度更大。基于机器学习的代码比较技术可以有效应用于IoT设备的漏洞检测,但是这些技术存在因代码特征提取粒度粗、提取的语义特征不充分和代码比较范围未进行约束而导致的高误报问题。针对这些问题,提出一种基于神经网络的两阶段IoT固件漏洞检测方法。基于代码的多维特征缩小代码比较范围,提高比较的效率和精确度;再基于代码特征,用神经网络模型对代码相似程度进行学习,从而判断二进制IoT固件的代码与漏洞代码的相似程度,以检测IoT固件中是否存在漏洞,最后实验证明了所提方法在IoT固件检测中的有效性。     

Windows DEP数据执行保护技术研究

缓冲区溢出漏洞是危害最大、影响范围最广的漏洞之一,普遍存在于各类系统和应用软件中。操作系统中的数据执行保护(DEP,Data Execution Prevention)技术,是一项有效的安全保护技术,能够有效防范缓冲区溢出攻击,维护操作系统安全,但是该技术仍然存在一定的局限性。文中通过一个突破数据执行保护,利用缓冲区溢出漏洞成功执行注入代码的实例来说明数据执行保护技术存在的局限性,并提出了一些解决数据执行保护技术局限性的方法和建议。     

一种基于虚拟化哈佛体系结构的Rootkit技术

通过修改操作系统内核的方式实现了哈佛内存体系结构的虚拟化,在操作系统层分离了对Rootkit代码的取指和数据操作,从而可以绕开内存扫描程序,实现攻击代码的隐藏.文中详细讨论了虚拟化哈佛体系结构的具体实现,并分析了它的有效性和对操作系统各个方面的影响.实验表明:该方法能很好地隐藏攻击代码,对操作系统的正常工作影响十分轻微.     

“心脏流血”安全漏洞分析及应对建议

结合最新案例,梳理了“心脏流血”漏洞的工作原理,分析该安全漏洞的影响,并从政府、企业、用户三个层面提出应对措施建议,旨在维护广大用户切身利益,保障国家网络安全与社会和谐稳定。     

基于CSP的与硬件无关的OpenSSL Engine分析与实现

文章介绍了OpenSSLEngine、CSP的原理及WindowsCryptoAPI。分析了OpenSSLEngine实现机制,总结了OpenSSLEngine开发的基本步骤,并实现一种基于CSP的OpenSSLEngine,为在Windows平台上进行基于OpenSSL的开发提供了一种新的开发思路。     

数字证书的研究与实现

在PKI系统中,都会涉及到数字证书的知识,本文从非数字证书格式出发,与数字证书格式进行了详细的比对。在深刻分析了X．509数字证书格式的基础上,介绍了制作数字证书的具体方法,并对基于OpenSSL的制作方法进行了详细的阐述和具体的实现,弥补了以往证书创建过程的不明确性。对未来证书系统的推进和实施有较强的现实意义。     

基于SSL的安全数据通道的理论与实践

客户机和服务器之间的数据传输的安全性是影响网络应原理、分层结构.然后以应用广泛的自由软件OpenSSL为例,介绍了如何构建基于SSL的安全数据通道.     

Software bugs and communications system performance

Software bugs and their manifestations are of concern in real-time systems such as communications systems. The reliability modeling of these systems has generally defined hardware performance models in great detail but only specified an estimate for the software performance. Software reliability modeling is usually based on the number of software bugs and not based on bug manifestations. The ultimate service provided by communications systems is dependent upon the level of criticality of bug manifestations and the frequency of occurrence of these manifestations. This paper discusses the current trend for the qualification and quantification of communications systems performance with emphasis on software bug manifestations.     

基于OpenSSL的Web安全访问控制设计与实现

随着PKI技术和SSL安全协议的广泛应用,在Web服务中利用SSL协议,提供安全的数据通信是非常重要的。OpenSSL是一个SSL/TLS协议的优秀实现,文章分析了相关技术和协议,利用这款开源软件工具,在通信中建立SSL连接,实现Web访问的安全控制。     

基于PKI的CA系统在企业办公系统的应用

随着网络信息技术的发展,信息的完整性、机密性、身份鉴别和不可否认性越来越重要.CA是PKI的核心,是具有权威性、可信任性、公正性的第三方机构,通过向用户颁发公钥证书,将用户身份信息与所持有的公钥相互绑定.利用OpenSSL开源软件实现基于PKI的CA系统,系统具有根证书下载安装、用户证书申请、颁发、撤销等功能.所发布证书遵守X.509标准.提出可行的应用于企业办公系统的基于PKI的CA系统.     

OpenSSL引擎机制的研究

传统情况下,在SSL中使用高强度算法的硬件加密设备,需要做大量的接口修改工作,并要求开发者熟悉硬件的内部结构和相应的开发接口。OpenSSL的引擎机制通过提供通用的加密接口解决了这个难题。文中介绍了OpenSSL引擎机制的实现原理,分析了OpenSSL引擎机制的关键技术,在此基础上,给出了硬件引擎实现的通用方法。基于该方法,可以方便地在SSL协议中引入所需的硬件加密模块,提高数据加密通道的安全性和处理性能。