021-66889888
2014年4月，有个叫心脏出血的漏洞出现，它致使全球互联网陷入恐慌状态，攻击者不用任何密码，就能够直接从服务器内存里窃取私密数据，此漏洞直至现在依旧是金融行业摆脱不掉的梦魇。
开源加密库 OpenSSL 的 1.0.1 及以下版本存在心脏出血漏洞，这是一个严重缺陷，攻击者向服务器传送精巧建构心跳的请求包，此包告知服务器其大小仅 1KB，然而实则塞满数据，此时服务器会吐出自身内存里 64 KB 的真实内容，以作回应。
以泄露的数据而言，涉及用户账号密码，还有私密通信内容，甚至包含服务器私钥。一旦掌握私钥，攻击者就能对所有加密的过往通信记录实施解密，或者伪装成真实服务器从而与用户构建连接。
这个漏洞被称作心脏出血，原因是它针对的是OpenSSL的心跳扩展功能，此功能本应属于维持连接健康的机制，然而却变成了致命的创伤。
金融行业受心脏出血漏洞的威胁先显于数据泄露，金融机构每日处理的敏感交易信息以及个人身份数据数量巨大，一旦攻击者借该漏洞读取服务器内存，那些数据便毫无防范地呈现在攻击者眼前。
拿2017年美国联邦储备银行发生的事件来讲，攻击者借助心脏出血攻击，成功渗透进入内部网络，获取了银行同业拆借市场那具备敏感度的数据。这类数据一旦出现外泄情况，不但会对单个机构产生影响，还极有可能对整个金融市场的信心构成打击。
银行、证券、保险等机构的信息系统常常跟 核心业务深程度绑定，内存里驻留的数据包揽各种事物，攻击者只要发送几十个经过精心构造的心跳请求，就能够如同抽血那般把这些信息一点一点抽取出来。
心脏出血这种攻击，不但能够窃取数据，而且还能够直接致使系统崩溃。攻击者借助反复去读取以及修改服务器内存里的数据，能够迫使服务进程异常终止，从而造成关键业务系统处于瘫痪状态。
2017年，在香港，有一家主要的金融机构，其系统发生过崩溃事件，据悉此番崩溃疑似是因心脏出血攻击所致。当时，交易系统突然间出现宕机状况，从而致使当天部分交易的处理出现延迟，虽说最终并没有造成巨大的经济损失，然而却已然给客户带来了极其糟糕的体验。
在那种高度自动化的，有关金融交易的环境当中，系统要是崩溃了，就极有可能引发连锁反应。有一个清算系统，出现故障之际呀，会致使上下相关的机构没办法正常地去结算，要是正好不巧赶上交易的高峰期，那么这种影响甚至会被放大成为是局部市场的动荡呢。
在漏洞公开之后的首月期间，全球范围的安全研究人员，修复了数量超过5万个的、受到影响的Web服务器。然而问题在于，并非全部系统都能够及时给补上补丁，许多老旧系统，由于存在兼容性方面的问题，或者是运维周期存在限制，只能长时间暴露于风险当中。
据安全公司所做的统计来看 在漏洞公开完之后的第一周期间 仅有百分之大约十的受到影响的服务器被修复而言 就此意味着于所述漏洞曝光之后的相当长的时间范围之内 绝大多数的服务器依旧为敞开着的金库的状态。
某些金融机构，甚至不清楚自身的哪些系统运用了受影响的OpenSSL版本。资产梳理得不明不白，漏洞管理滞后，致使原本能快速修复的心脏出血漏洞，演变成了长期存在的隐患。
直接给金融行业带来经济损失的心脏出血漏洞，涵盖着应急响应所需花销、系统升级所涉成本、安全审计费用支出。在2014年该漏洞爆发之后，全球范围内的金融机构就得必须紧急投入大量资金去开展排查以及进行加固了。
相较而言，间接损失更不易于被测算。一旦出现数据泄露的状况，金融机构极有可能遭遇监管方面的惩处、客户提出的索赔以及业务出现流失的情形。就拿美国的一家大型投资银行来讲，在其因心脏出血漏洞引发的数据泄露事件过后，不但得着手处理客户的信任危机问题，而且还支付了数额巨大的诉讼和解所需费用。
保险行业据此对网络安全险的定价策略予以调整，保险公司着手重新评估漏洞风险，心脏出血这类能够一次性对海量系统产生影响的漏洞，致使网络安全保险的保费被直接推高了。
心脏出血漏洞出现了，这在网络安全史上有着里程碑意义，它使得全球互联网行业察觉到，存在这样一个情况，就是一个被广泛运用的开源组件出现了漏洞，而这个漏洞所产生的影响范围，可能比任何一款商业软件漏洞所带来的影响范围都要大上许多。
事件发生以后，诸多科技公司着手加大对开源项目的投入以及支持力度，谷歌、微软、思科这类企业共同发起核心基础设施倡议，给OpenSSL等关键开源项目予以资金与人力方面的支援。
也有普通用户，因这次事件，开始关注软件供应链安全，大家慢慢清楚，就算自己所用应用本身无问题，然而要是其依赖的底层库有漏洞，数据安全依旧得不到保障。
你可曾思索过，要是当下突发一个如同心脏出问题般出血的全新漏洞，你此刻正运用着的网银APP，或者证券交易软件，真就能丝毫不受影响，平平安安吗？欢迎于评论区去分享你所持的看法，倘若觉着本文有价值，可别忘了点赞再转发这些操作哦。