Linux漏洞威胁网银安全 SSL证书遽需替换

上周业内发现的一个影响Linux操作系统中特定Debian版本生成加密密钥对的严重漏洞，黑客可以利用这个漏洞查看加密的交易数据，更可能进一步秘密盗取消费者密码、金融帐号、信用卡号和社保号。

尽管威瑞信 SSL、代码签名和客户端证书品牌(包括威瑞信, GeoTrust, thawte和RapidSSL) 使用的根和中级根证书不会受这个安全问题影响，但是部分客户可能使用有漏洞风险的Linux操作系统版本来生成证书的密钥对。因此可能使得客户鉴别、加密和数字签名交易让黑客有机可趁。

为持续保护威瑞信或旗下其它证书品牌客户涉及的所有网上交易，威瑞信公司宣布免费吊销和更换任何SSL、代码签名或客户端证书。采用威瑞信 SSL的公司可以调查自己的认证和加密方式，并直接从威瑞信更换任何必要的证书。此免费方案有效期截止到2008年6月30日。

这次漏洞影响所有在2006年9月17日到2008年5月12日之间发布的Debian操作系统版本以及衍生版本(如Ubuntu)上所有生成密钥对的应用软件。尽管此次安全漏洞的责任在于提供这些Linux操作系统版本的厂商，但各个网站运营商应确保安装最新发布的补丁程序并修复漏洞，从而替换有漏洞的部分，使用安全的SSL证书。

威瑞信公司SSL高级副总裁Chris Babel表示： “威瑞信、GeoTrust、thawte或RapidSSL证书内部不存在基本漏洞，我们深刻认识到互联网安全对电子商务的成功的重要性。因此，我们决定免费更换任何有问题的SSL证书。任何不安全的证书都应该立即替换，尤其电子商务企业更应该马上行动，我们鼓励他们尽快采取措施。”

Babel进一步表示：“为不间断保证全球电子商务的安全，我们推荐其它品牌证书的所有者立即进行细查，确定证书是否安全并能够继续使用。同样，我们推荐所有自行签发证书的签发机构，立即调查是否存在类似的漏洞。网站运营商应与证书签发机构联系，确定是否在Debian或衍生操作系统上签发受信根和中级根证书。如果发现证书签发机构的根证书存在此种安全问题，建议管理员立即中止使用这些证书，更换另一个安全的证书签发机构签发的证书。”