本页使用了标题或全文手工转换

FREAK缺陷

维基百科,自由的百科全书
(重定向自FREAK漏洞
跳转至: 导航搜索

FREAK缺陷(全称:Factoring RSA Export Keys中文分解RSA出口级密钥)是SSL/TLS协议中的密码学安全缺陷。20世纪90年代,此缺陷随着美国加密出口法规的出台而引入。

概要[编辑]

1990年代时,美国对于货物的出口设立了一些规定,从而引入了这个缺陷。规定中指出,美国软件制造商出口的软件只能使用512位及以下的RSA加密(即所谓的出口级加密)。此举是为了便于NSA破译加密。时至2015年,随着计算能力的发展,破解这种加密已经不再是政府机构才能做到的事,任何人只要拥有充足的计算资源,就能通过普通数域筛选法加上约100美元的云计算服务轻而易举地将其破译。这个缺陷还能和中间人攻击结合利用,只要先破译网站的512位弱加密,再发动中间人攻击,就能使任何允许使用512位出口级密钥的网站失去安全保障。此漏洞于2015年发现,但从1990年代开始就已经存在。

FREAK漏洞由IMDEA、INRIA微软研究院的研究人员共同发现。[1] OpenSSL中存在的此漏洞在公共漏洞和暴露系统中的编号是CVE-2015-0204。[2]

受到漏洞影响的软件及设备包括苹果SafariGoogle安卓系统上的默认浏览器,及OpenSSL[3][1] 微软还表示全版本的Windows系统上的SChannel传输层加密实现都受到FREAK漏洞影响。[4]SChannel中存在的漏洞的CVE编号是CVE-2015-1637。[5] 而苹果的安全传输功能中的漏洞的CVE编号是CVE-2015-1067。[6]

受到漏洞影响的网站包括美国联邦政府网站fbi.gov、whitehouse.gov、nsa.gov,[7] 一个安全团队的测试发现,36%的被测HTTPS网站都受到漏洞影响。[8] 根据IP2Location LITE的地理定位,35%的受影响服务器都位于美国。[9]

有新闻报导称此漏洞是「潜在的灾难」,[10]是美国政府意图控制加密技术传播的「意外后果英语Unintended consequence」。[7]

截至2015年3月3日 (2015-03-03),各软件厂商已在准备发布修复漏洞后的新版本软件。[7][8] 2015年3月9日,苹果发布了iOS 8OS X操作系统的漏洞补丁。[11][12] 2015年3月10日,微软为所有仍在技术支持周期内的Windows系统(Windows Server 2003Vista及后续版本)发布了漏洞补丁。[13] Google Chrome 41和Opera 28也已采取相应漏洞缓解措施。[14] Mozilla Firefox不受此漏洞影响。

参见[编辑]

参考来源[编辑]

外部链接[编辑]