heartbleed

雖說 Android 系統有較多惡意軟件，但只要不亂安裝應用也不破解系統，其實還是很安全。但最近就有保安專家發現 Android 的系統漏洞，黑客只需發送 MMS 短訊即可遙控受害人設備，災情隨時遍及全球九億人。

OpenSSL 小組日前對外發出緊急通知，由於在 OpenSSL 1.0.2d 及 1.0.1p 上發現可被黑客遠端遙控、發動 DoS 攻擊與外洩記憶體資料的高風險漏洞，故將於 7 月 9 日推出上述兩個版本的更新，以堵塞相關漏洞。

相信各位 unwire 讀者對去年出現的大型漏洞 Heartbleed 記憶猶新，而日前就有資安人員指各數據中心與虛擬主機如 KVM、Virtual、Xen 等均面臨名為「VENOM」的高危漏洞所威脅，其危險程度較 Heartbleed 更甚。

Unwire.pro 讀者今年應該看到很多有關資訊保安的新聞，至今針對香港媒體機構的網路攻擊仍未停歇。趨勢科技剛發表了最新資安報告給出 8 大預測，不僅黑客犯罪交易會愈來愈熾烈，針對 Android 手機、物聯網和流動付款平台的攻擊將變本加厲，鎖定機構的魚叉式攻擊亦將遍及全球。

unwire.pro 早前曾報導的漏洞 Shell Shock，雖然資安人員認為其影響將較 Heartbleed 來得更大，範圍亦更廣泛。但用戶亦絕非處於被動狀態，香港資安服務供應商 Network Box 近日就推出兩種新措施以阻擋其威脅，為用戶攔截 Shell Shock。

各位 unwire.pro 讀者還記得數月前爆出的嚴重資安漏洞 Heartbleed 嗎？雖然 Heartbleed 在被揭發後的一段時間內已在多方合力之下被修補，但世上總有着千萬種不同的漏洞。日前就有研究人員揭發一種威脅可媲美 Heartbleed 的大型漏洞。

OpenSSL 的 Heartbleed 漏洞被揭發至今已超過兩個月，但原來仍有為數不少，多達 30 萬種的網絡服務依然受 Heartbleed 威脅。

OpenSSL 再被發現漏洞，但是次的漏洞與近期被發現的 Heartbleed 無關；因為此漏洞自 1998 起就存在於 OpenSSL 內。據 Google 軟件工程主任 Adam Langley 指此漏洞已存在於 OpenSSL 的編碼中至少 15 年，並對 OpenSSL 團隊長久以來均未能發佈此重大漏洞表示遺憾。他續指此漏洞的危險程度仍大不如 Heartbleed，而若黑客欲使用此漏洞，亦需要確保對像正使用網頁瀏覽器或其他有使用 SSL 協議的程式。

在 Heartbleed 漏洞被揭發後，隨即引起了大規模的「換密碼」潮，更驚醒了部份本不把資訊安全視作一回事的用戶，其震撼與破壞力可想而知。即使時至 7 星期後的今天，我們均未脫離險境。

今天做好 IT 風險管理，已不是專屬 IT 部門需要管好的事情，事故不再分突發不突發，每個崗位都隨時作好準備，應付因系統漏動引發的事情。今次我們就訪問了，即將在第 3 屆風險管理研討會上分享的資深保安專家江明灶，探討商業機構在危機四伏的今天，如何作好有效 IT 風險管理。