openssl心脏出血漏洞

2014年4月7日，心血漏一条消息像病毒一样在安全圈炸开。脏出OpenSSL——那个为全球过半网站提供加密保护的心血漏底层库——被曝出存在一个致命漏洞，代号“心脏出血”。脏出这名字听着像恐怖片，心血漏实际上比恐怖片还惊悚：攻击者可以随意读取服务器内存中的脏出任意数据，包括私钥、心血漏密码、脏出会话令牌，心血漏甚至用户明文传输的脏出敏感信息。

漏洞的心血漏根源出在OpenSSL对TLS心跳扩展的实现上。心跳机制本意是脏出让连接双方确认对方还活着，客户端发一个请求，心血漏服务器原样返回数据。脏出问题在于，心血漏OpenSSL在响应时没有严格校验请求的实际长度。攻击者可以发送一个只含1字节数据、却声明长度高达65535字节的心跳包，服务器会傻乎乎地把自己内存里65535字节的内容“吐”出来。内存里有什么？可能是别的用户的会话信息，可能是服务器的私钥，也可能是你刚提交的信用卡号。

更可怕的是，这个漏洞已经在OpenSSL 1.0.1到1.0.1f版本里潜伏了整整两年。两年，足够任何有心的攻击者把服务器内存翻个底朝天。没人知道谁先发现了它，也没人知道它是否已被利用过。安全公司事后去查日志，发现有些服务器早在2013年就有异常心跳请求的记录——但那时没人觉得不对劲。

修复本身倒不难，升级到1.0.1g版本就行。真正棘手的是修复后的善后工作。服务器内存已经被泄露过，那么内存里出现过的私钥就必须作废重签。这意味着网站管理员要更换SSL证书，撤销旧证书，重新部署新证书。可证书撤销机制本身就有缺陷：浏览器不一定能及时获取撤销列表，有些浏览器甚至根本不检查。于是出现了诡异的一幕——很多网站在修复漏洞后，依然继续使用着可能已泄露的证书，因为更换证书太麻烦，而且用户不会察觉到任何异常。

我印象最深的是当时乌云网上一个白帽子的测试。他用一个简单的Python脚本，对着某大型电商的服务器发了几次心跳请求，就成功读出了该服务器内存中其他用户刚刚提交的订单信息，包括收货地址和手机号。整个过程不到五秒，无需任何高级技巧。那个白帽子后来在帖子里写道：“我只是想验证漏洞是否真实存在，结果比预想的还要容易。”这条帖子很快被删除，但截图已经传遍了整个安全圈。

心脏出血之所以影响深远，不只是因为它泄露数据，而是它动摇了人们对基础设施的信任。OpenSSL是开源的，按理说代码被无数双眼睛审查过，不该出这种低级错误。可事实是，这个项目长期只有两三名兼职维护者，靠捐款过活，代码审查形同虚设。漏洞被修复后，Linux基金会才匆忙发起“核心基础设施计划”来资助这类项目——但那是后话了。

直到今天，互联网上仍有不少设备运行着存在心脏出血漏洞的旧版OpenSSL。路由器、摄像头、打印机，这些物联网设备往往没人维护固件，成了永远敞开的门。你没法修补一个厂商早已放弃的设备，只能把它换掉。但谁会没事去换一台还能用的打印机呢？