Linux漏洞威胁网银安全 SSL证书遽需替换

来源:岁月联盟 编辑:zhuzhu 时间:2008-05-24
Linux漏洞威胁网银安全 SSL证书遽需替换 上周业内发现的一个影响Linux操作系统中特定Debian版本生成加密密钥对的严重漏洞,安全可以利用这个漏洞查看加密的交易数据,更可能进一步秘密盗取消费者密码、金融帐号、信用卡号和社保号。

尽管威瑞信 SSL、代码签名和客户端证书品牌(包括威瑞信, GeoTrust, thawte和RapidSSL) 使用的根和中级根证书不会受这个安全问题影响,但是部分客户可能使用有漏洞风险的Linux操作系统版本来生成证书的密钥对。因此可能使得客户鉴别、加密和数字签名交易让安全有机可趁。

为持续保护威瑞信或旗下其它证书品牌客户涉及的所有网上交易,威瑞信公司宣布免费吊销和更换任何SSL、代码签名或客户端证书。采用威瑞信 SSL的公司可以调查自己的认证和加密方式,并直接从威瑞信更换任何必要的证书。此免费方案有效期截止到2008年6月30日。

这次漏洞影响所有在2006年9月17日到2008年5月12日之间发布的Debian操作系统版本以及衍生版本(如Ubuntu)上所有生成密钥对的应用软件。尽管此次安全漏洞的责任在于提供这些Linux操作系统版本的厂商,但各个网站运营商应确保安装最新发布的补丁程序并修复漏洞,从而替换有漏洞的部分,使用安全的SSL证书。

威瑞信公司SSL高级副总裁Chris Babel表示: “威瑞信、GeoTrust、thawte或RapidSSL证书内部不存在基本漏洞,我们深刻认识到互联网安全对电子商务的成功的重要性。因此,我们决定免费更换任何有问题的SSL证书。任何不安全的证书都应该立即替换,尤其电子商务企业更应该马上行动,我们鼓励他们尽快采取措施。”

Babel进一步表示:“为不间断保证全球电子商务的安全,我们推荐其它品牌证书的所有者立即进行细查,确定证书是否安全并能够继续使用。同样,我们推荐所有自行签发证书的签发机构,立即调查是否存在类似的漏洞。网站运营商应与证书签发机构联系,确定是否在Debian或衍生操作系统上签发受信根和中级根证书。如果发现证书签发机构的根证书存在此种安全问题,建议管理员立即中止使用这些证书,更换另一个安全的证书签发机构签发的证书。”

消费者可以访问下述网站,获得与每个品牌的证书召回和更换功能的有关信息:

VeriSign品牌SSL证书:

http://www.verisign.com/ssl/current-ssl-customers/manage-ssl-certificates/index.html#revoke

thawte品牌SSL证书:

http://www.thawte.com/reissue/?click=buyssl-buttonsleft

GeoTrust品牌SSL证书:

http://www.geotrust.com/resources/cert_reissuance/index.asp

RapidSSL品牌SSL证书:

https://products.geotrust.com/geocenter/reissuance/reissue.do

图片内容