最近曝光的Heartbleed漏洞，是一個OpenSSL加密的錯誤，也是我們一直面對的安全威脅的另一個提醒。Heartbleed錯誤能讓任何人在互聯(lián)網(wǎng)上讀取到系統(tǒng)內(nèi)存，這些系統(tǒng)是由容易受攻擊部分的OpenSSL軟件所保護。這損害了用于識別服務(wù)供應(yīng)商和對數(shù)據(jù)流、用戶名、用戶和實際內(nèi)容的密碼加密的秘密密鑰。這樣使攻擊者可以竊聽通信信息，直接從服務(wù)和用戶竊取數(shù)據(jù)并進行冒充服務(wù)和用戶個人。
這個錯誤在生產(chǎn)軟件中已經(jīng)存在超過兩年，并被領(lǐng)先的安全專家形容為“災(zāi)難性的”。立即的解決辦法是找出受影響的系統(tǒng)，應(yīng)用此修補程序和更新的SSL證書，用戶也需要被通知進行密碼更改和跟蹤暴露信息的誤用。
即使今天這錯誤打了補丁，也不能保證相似類型的錯誤不會再出現(xiàn)或隱藏在軟件中未被發(fā)現(xiàn)。這種有類似影響的漏洞，將來可能從另一個SSL庫或應(yīng)用程序產(chǎn)品再出現(xiàn)。
這也引出了一些問題，是否SSL能充分保護數(shù)據(jù)保密性和在線交易的完整性？企業(yè)如何可以管理通過網(wǎng)絡(luò)服務(wù)泄露的將來數(shù)據(jù)的風(fēng)險，并讓他們的客戶相信他們的數(shù)據(jù)是安全的，避開了竊聽者？是否已經(jīng)可以做了一些事以減輕此類事件的風(fēng)險？
為了防止敏感數(shù)據(jù)的暴露，即使SSL加密被破壞，企業(yè)需要一個強大的數(shù)據(jù)保護解決方案來保護密碼和敏感交易數(shù)據(jù)，如端到端加密功能(E2EE)。E2EE功能確保敏感數(shù)據(jù)一直被加密，甚至在易受攻擊的網(wǎng)上或應(yīng)用服務(wù)器上的內(nèi)存內(nèi)。它也能提供HeartBleed 類型錯誤的保護，也能防止內(nèi)部人士，如軟件開發(fā)者或數(shù)據(jù)管理人員(DBA)無意或故意泄露敏感數(shù)據(jù)。實際上，新加坡金融管理局(MAS)和香港金融管理局(HKMA)已授權(quán)金融機構(gòu)采用E2EE來保護密碼和電子銀行網(wǎng)站上關(guān)鍵的交易數(shù)據(jù)。
像許多金融機構(gòu)一樣，機構(gòu)應(yīng)該采用同樣的最佳實踐來對密碼和敏感數(shù)據(jù)進行加密，并且除了SSL保護外加密數(shù)據(jù)通過通信信道發(fā)送。通過使用一個加密庫和密鑰數(shù)據(jù)，在數(shù)據(jù)提交到服務(wù)器端之前，在入口點(用戶桌面/智能手機)進行數(shù)據(jù)加密。這個數(shù)據(jù)在網(wǎng)絡(luò)服務(wù)器甚至到應(yīng)用服務(wù)器上一直處于加密狀態(tài)。該數(shù)據(jù)可以在應(yīng)用服務(wù)器被解密，但在密碼的情況下，它們依然被加密并在HSM內(nèi)部進行驗證。硬件安全模塊(HSM)是使用滿足FIPS標準的防篡改硬件的加密設(shè)備。因此，密碼加密是從入口點到對比點的。除了減輕Heartbleed類型漏洞的影響，這將確保在運輸和存儲過程中內(nèi)部網(wǎng)沒有人有權(quán)訪問密碼，并可以防止內(nèi)部欺詐。
總而言之，有效的數(shù)據(jù)保護需要分層的安全解決方案和正確處理過程的結(jié)合。企業(yè)不應(yīng)該等到下一個網(wǎng)絡(luò)服務(wù)器漏洞出現(xiàn)，應(yīng)該在應(yīng)用層調(diào)查實施端到端加密(E2EE)解決方案來保護它們機密信息，而不是依靠SSL保護。