新的heartbleed攻擊透過wi-fi攻擊android裝置和路由器

在該漏洞使網路處於高度戒備狀態7周後，Heartbleed仍然在引發問題。葡萄牙安全研究人員Luis Grangeia的一份新報告描述瞭如何在Wi-Fi上使用相同的漏洞來啟用基於相同漏洞的新型別攻擊。...

在該漏洞使網路處於高度戒備狀態7周後，Heartbleed仍然在引發問題。葡萄牙安全研究人員Luis Grangeia的一份新報告描述瞭如何在Wi-Fi上使用相同的漏洞來啟用基於相同漏洞的新型別攻擊。

傷害將比心血更能控制

新的攻擊線被稱為丘位元（Cupid），它將透過Wi-Fi而不是開放的web執行同樣的令人心碎的程式，要麼從企業路由器中提取資料，要麼在Android裝置連線時使用惡意路由器從其中提取資料。在每種情況下，攻擊者都能夠檢視目標裝置的工作記憶體片段，從而可能暴露使用者憑據、客戶端證書或私鑰。Grangeia在今天早些時候釋出了一個bug的概念證明，並敦促供應商和管理員升級他們的裝置。

任何執行4.1.1版本的jellybean的Android裝置都是易受攻擊的

目前尚不清楚有多少裝置易受攻擊，但其危害可能遠大於心血。最易受攻擊的目標是基於EAP的路由器，它們需要單獨的登入和密碼，這是無線區域網中常見的解決方案。在這些情況下，攻擊者可以使用Heartbleed從路由器或身份驗證伺服器中提取私鑰，從而有效地繞過任何安全措施。Grangeia說，他還沒有做足夠的測試來估計這些路由器中有多少在執行易受攻擊的配置。更重要的是，攻擊只能針對Wi-Fi範圍內的裝置，嚴重限制了潛在目標。”Grangeia說：“這種攻擊的特殊變體可能關閉起來比較慢，但它不應該像最初的bug那樣廣泛，因為易受攻擊的裝置的範圍較低。”

另一個問題是Android裝置仍然執行4.1.1版本的Jelly Bean，這是已知的易受漏洞攻擊的裝置。在基於路由器的攻擊中，攻擊者會提供一個開啟的Wi-Fi訊號，然後執行Heartbleed攻擊，從任何連線的裝置中提取資料。這是一種新的攻擊方式，使得許多Android裝置處於新的易受攻擊狀態。截至上個月，仍有數百萬臺裝置在執行4.1.1，包括HTC One的幾個變種。許多人在攻擊後更新，但其他人可能仍然很脆弱。

“多年來，我們都會看到令人心碎的駭客攻擊。”

更廣泛地說，它提醒人們，安全界仍在努力應對各種令人心碎的後果。即使在中央伺服器打了補丁之後，研究人員也能發現更多不明目標的攻擊。OpenSSL和TLS等易受攻擊的服務被廣泛使用，留下了廣泛的潛在目標。”web和電子郵件是[TLS]的最大使用者，但絕不是唯一的使用者，“哥倫比亞大學教授Steve Bellovin說，”任何未修補的實現都有可能受到Heartbleed的影響。“到目前為止，大多數現代系統都將升級到防Heartbleed版本的OpenSSL，但人們總是擔心一些接入點仍將保持未修補狀態。

至於心血帶來的更廣泛影響，Errata Security創始人羅伯特•大衛•格雷厄姆（Robert David Graham）估計，只有一半的損失得到了清理，這表明丘位元可能是社群麻煩中最小的一個。”格雷厄姆對《邊緣報》說：“多年來，我們將看到一些重要的令人心碎的駭客攻擊。”。