昨天报道的TLS中间人攻击 (CNBETA), 今天OpenSSL已经有了补丁, 速度挺快.
不过这个补丁并不是从协议上修补了漏洞,而只是默认情况下关闭了renegotiation.我们推荐所有使用OpenSSL的用户(网站,或者客户端软件),尽快下载更新到最新版的OpenSSL.
下载地址:
http://www.openssl.org/source/ 当然此前也有过讨论, 简单地关闭掉Renegotiation肯定会在某些应用场景下打来一些功能性的问题. 我们推荐在应用补丁之前进行比较充分的测试. 同时,即便是出现了功能性问题, OpenSSL也为此提供了解决方案, 如果出现问题,只需"set a flag and -hup!"
另外, 正如同牛人们(Tom Cross@ISS, Yunshu)指出的那样, 这个漏洞也没什么大不了, 效果更像是CSRF.
什么是CSRF:
CSRF（Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。
