一 . 前言  这两天这个事件沸沸扬扬啊,有了这个bug黑客在电脑前动动手指就能获取各大电商网站.各大银行用户的用户名和密码了,屌爆了 BUG具体内容 : http://heartbleed.com/ 新闻报导 : http://tech.sina.com.cn/i/2014-04-08/22249305763.shtml 二.查询自己网站是否中招  访问 http://filippo.io/Heartbleed 输入自己网站的ip,注意后面输入端口,比如查询淘宝的  42.120.194.1…

CentOS6.5的openssl升级:(修复心脏漏血漏洞) [root@linux1 ~]# rpm -qi openssl|grep VersionVersion : 1.0.1e Vendor: CentOS openssl升级:OpenSSL 需要更新至1.0.2g或1.0.1syum update "openssl*" #没有更新版本 使用源码安装openssl:wget https://www.openssl.org/source/openssl-1.0.1g.tar.gz…

概述 移动应用很多时候并非孤立存在,在多数场景下存在前.后台以及第三方服务之间进行数据交互,因此,在网络中传输敏感数据在所难免,如果不使用正确安全的传输方式,有可能存在敏感信息泄漏的风险. 安全准则 A.      使用SSL协议(或基于SSL的协议)传输敏感数据. B.      验证服务器证书的有效性,防止中间人攻击,当证书有效性验证失败时应强行断开连接,而不是提示用户. C.      尽可能地减少使用短信发送敏感信息. D.      增强项:应用程序可以对敏感数据进行一次独立加密后再通…

1.HTTPS性能优化 1.1 HTTPS性能损耗原因 前文讨论了HTTPS原理与优势:身份验证.信息加密与完整性校验等,且未对TCP和HTTP协议做任何修改.但通过增加新协议以实现更安全的通信必然需要付出代价,HTTPS协议的性能损耗主要体现如下: 1.增加延时 分析前面的握手过程,一次完整的握手至少需要两端依次来回两次通信,至少增加延时2* RTT,利用会话缓存从而复用连接,延时也至少1* RTT*. 2.消耗较多的CPU资源 除数据传输之外,HTTPS通信主要包括对对称加解密.非对称加解密…

支付宝openssl漏洞肆虐 互联网巨头称目前已修复 金山毒霸安全专家李铁军表示,这个漏洞使黑客可以远程读取https服务器的随机64KB内存,“只要这个黑客有耐心多捕获多分析那些64KB的数据,用户访问网站的cookies.SSL私钥.账号密码,这些数据全都可能被黑客远程读取到.” 一位安全行业人士在网络问答社区知乎上透露,他在某著名电商网站上用这个漏洞尝试读取数据,在读取200次后,获得了40多个用户名.7个密码,用这些密码,他成功地登录了该网站. 网购.信息登记.社交……如今,我们的日常生…

原文:https://www.freebuf.com/vuls/97727.html 1. 引子 本来最近和360 Nirvan Team的DQ430愉快的参加某加密厂商的年度大会,结果openssl也出来碰热闹,也许真是为了DH兄弟送大礼,苦了我们这些安全运维的. 感谢Shawn的指点!hf! 2. 细节 360在内部信息安全实践历程中,“360信息安全部”逐步秉承最佳安全实践,在https等ssl领域逐渐做出了明显的变化. 比如重要系统中禁止不安全的加密套件使用,来减少ssl的攻击面. 我们…

来源:TechTarget中国作者:Michael Heller翻译:张程程 OpenSSL项目团队为其密码库发布补丁以修复一个严重的漏洞(该漏洞可能允许攻击者解密HTTPS通信),同时强化对Logjam的防御. 解密攻击漏洞是在OpenSSL处理某些特定情况下DH密钥交换时发现的.通常,OpenSSL只使用所谓的“安全”质数,但在OpenSSL1.0.2中,生成参数文件的新方式将重新启用一个质数.理论上讲,攻击者就可以使用这个值来解密加密的安全通信. 不过有咨询师指出这种攻击很难执行,因为它需…

1. 概述    当前爆出了Openssl漏洞,会泄露隐私信息,涉及的机器较多,环境迥异,导致修复方案都有所不同.不少服务器使用的Nginx,是静态编译opensssl,直接将openssl编译到nginx里面去了,这就意味着,单纯升级openssl是没有任何效果,Nginx不会加载外部的openssl动态链接库的,必须将nginx重新编译才可以根治. 2. 识别Nginx是否是静态编译的 以下三种方法都可以确认Nginx是否静态编译Openssl. 2.1 查看Nginx编译参数 输入以下指令…

我为什么要写这一篇稿子? 为了避免更多的运维.开发者没能实现企业的信息安全,我将共享出我个人的HTTPD的安全修复(2.2和2.4差不太多就看2.4就好) 起因:我为某M工作,但因某M和testin合作,结果他们跑个脚本在安全上检测到 SlowHTTPDenialofServiceAttack(解决方案是reqtimeout_module) 不安全的httppoodlesweet32中间件漏洞:响应包版本泄露 [顺便一提,这些问题我早知道了,他们的修复建议并没什么用,依然是CV大法] 首先我们来…

升级OpenSSL修复高危漏洞Heartbleed 背景:          OpenSSL全称为Secure Socket Layer.是Netscape所研发.利用数据加密(Encryption)作技术保障在Internet上传输数据的安全.可确保数据在网络上的传输不会被窃听及截取. 当然,OpenSSL是一个强大的password库,我们在使用SSL协议的时候不一定非得採用OpenSSL,只是眼下基本上都是用的OpenSSL,由于它更安全.使用起来也更简单. 在最近互联网安全协议OpenS…