9月30日系統(tǒng)觀察：SSL被攻破了該咋辦
原創(chuàng)這兩天SSL的事情大家都比較關(guān)注，今天會(huì)重點(diǎn)說(shuō)一下。
1、TLS/SSL安全問(wèn)題
最近消息說(shuō)黑客已經(jīng)攻破SSL加密，導(dǎo)致業(yè)內(nèi)一片風(fēng)聲鶴唳。但是什么是通過(guò)瀏覽器攻破SSL/TLS（簡(jiǎn)稱BEAST），這種攻破是基于什么機(jī)制，很多文章解釋的讓人根本看不懂。下面是一個(gè)比較簡(jiǎn)單的解釋：
大多數(shù)加密方式基于兩種情況：
1、攻擊者不知道加密消息用的密鑰
2、攻擊者不知道被發(fā)送的消息
BEAST攻擊的第一步就是將代碼植入到當(dāng)前瀏覽器的會(huì)話當(dāng)中，可能通過(guò)iframe或XSS來(lái)實(shí)現(xiàn)；這條代碼造成瀏覽器在SSL通道中傳輸一些已知的純文本，有很多簡(jiǎn)單的JavaScript都可以實(shí)現(xiàn)這一點(diǎn)；另一方面，攻擊者已經(jīng)通過(guò)嗅探或中間人攻擊獲取到了SSL上傳遞過(guò)的消息。那么現(xiàn)在有了已知原文本的一段文字，有了加密后的文字，又有了被發(fā)送的消息，就可以通過(guò)一些解密手法獲取cookie了。
文章也推薦了一些防護(hù)措施，對(duì)用戶來(lái)說(shuō)要盡量在離開(kāi)SSL網(wǎng)站之前進(jìn)行登出；網(wǎng)站管理員則要確保登出功能的合理性，會(huì)話cookie與IP的綁定，以及SSL加密在RC4和AES之間的選擇。
被感染的瀏覽器們（Firefox、IE、Chrome、Opera、Safari）紛紛表示問(wèn)題不是那么嚴(yán)重。而且由于SSL/TLS是一個(gè)業(yè)界標(biāo)準(zhǔn)，需要多方共同推進(jìn)才能解決這個(gè)問(wèn)題。升級(jí)到TLS 1.1不會(huì)被這個(gè)漏洞所影響，但由于大部分SSL連接都是用TLS 1.0，所以暫時(shí)還無(wú)法成為一個(gè)解決方案。（英文來(lái)源）
2、Oracle Open World預(yù)覽
Oracle總裁Mark Hurd通過(guò)電話對(duì)本次的Open World進(jìn)行了概述。Oracle OpenWorld 2011將在10月2日到6日在舊金山舉辦。
Oracle策略：將覆蓋硬件，操作系統(tǒng)，數(shù)據(jù)庫(kù)，中間件，垂直市場(chǎng)領(lǐng)域的應(yīng)用層。
云計(jì)算：將會(huì)有更多針對(duì)SaaS和云計(jì)算的聲音。
新技術(shù)：年年更多新技術(shù)。預(yù)計(jì)今年總到場(chǎng)人數(shù)將有5萬(wàn)人。
有關(guān)廠商鎖入：Exadata不會(huì)造成鎖入。（英文來(lái)源）
3、FreeBSD 9.0 Beta 3發(fā)布
FreeBSD 9.0的第三個(gè)Beta開(kāi)了新分支，現(xiàn)在-current和-stable上都進(jìn)行統(tǒng)治，不過(guò)-current上會(huì)有更多的信息。
發(fā)行注記：http://lists.freebsd.org/pipermail/freebsd-stable/2011-September/064030.html
下載地址仍在各個(gè)FTP鏡像的如下路徑中：
amd64: .../releases/amd64/amd64/ISO-IMAGES/9.0/
i386: .../releases/i386/i386/ISO-IMAGES/9.0/
ia64: .../releases/ia64/ia64/ISO-IMAGES/9.0/
powerpc: .../releases/powerpc/powerpc/ISO-IMAGES/9.0/
powerpc64: .../releases/powerpc/powerpc64/ISO-IMAGES/9.0/
sparc64: .../releases/sparc64/sparc64/ISO-IMAGES/9.0/
【往期系統(tǒng)觀察】
