OpenSSL今日發(fā)現(xiàn)一嚴重漏洞——水牢漏洞（DROWN漏洞），可能影響部分使用HTTPS的服務及網站。利用該漏洞，攻擊者可以監(jiān)聽加密流量，讀取諸如密碼、信用卡賬號、商業(yè)機密和金融數(shù)據等加密信息。目前全球有大約400萬網站和服務易受此漏洞的影響。

　　360網絡攻防實驗室經初步統(tǒng)計，我國有109725個網站可能受到此漏洞的影響。360專門開發(fā)了此漏洞的在線檢測工具。

　　HTTPS是一種Web瀏覽器與網站服務器之間傳遞信息的協(xié)議，該協(xié)議以加密形式發(fā)送通信內容，保證用戶上網時的信息無法被第三方截獲并解密讀取。SSLv2是一種古老的協(xié)議，官方已經建議禁用SSLv2，Microsoft IIS (Windows Server):iis 7和以上的版本默認已經禁止了sslv2，實踐中也有許多客戶端已經不支持使用SSLv2。然而由于錯誤配置，許多網站仍然支持SSLv2。

　　水牢漏洞可以允許攻擊者破壞使用SSLv2協(xié)議進行加密的HTTPS網站，讀取經加密傳輸?shù)拿舾型ㄐ�，包括密碼、信用卡帳號、商業(yè)機密、金融數(shù)據等。

　　360安全專家蔡玉光分析，水牢漏洞利用難度較高，需要攻擊者截獲經HTTPS加密的通信數(shù)據，并破解此數(shù)據應送達的服務器的密鑰，才可讓攻擊者對所截獲的數(shù)據進行解密。破解密鑰需要使用一定性能的計算集群，并花費8個小時。租用計算集群的成本約400美金左右（以租用亞馬遜集群的費用為準）。但一旦攻擊成功，攻擊者就可以破解其截獲的所有加密數(shù)據。

　　360部分網站也在使用OpenSSL，但是360在重要的系統(tǒng)中禁止了不安全的加密套件，因此不受“水牢”漏洞影響。

　　蔡玉光建議受到此漏洞影響的用戶應確認其私鑰不適用于其他的支持sslv2服務，包括web、smtp、imap、pop服務等，并禁止服務器端的sslv2支持。另外可以對OpenSSL進行更新。