有关诺顿产品和 Heartbleed 漏洞的信息

尘梦幽然

本文回答当前被询问有关 Heartbleed 漏洞和诺顿产品防御此攻击时所扮演角色的许多问题。你可能已经收到来自诺顿的电子邮件，通知您有关此漏洞的信息。
诺顿产品是否受到 Heartbleed 漏洞的影响？

• 适用于 Windows 的 21.x 版的 Norton AntiVirus、Norton Internet Security 和 Norton 360 以及适用于 Mac 的 6.x 版的 Norton Internet Security 确实包含具有该漏洞的 OpenSSL 库。
  根据您使用的操作系统，执行下列操作之一：
  
  
  • 对于 Microsoft Windows，请阅读：查找您的诺顿产品的名称和版本
  • 对于 Mac，请阅读：查找适用于 Mac 的诺顿产品版本
    
    
  但是，若有人想要在受影响的诺顿产品中拦截 OpenSSL 漏洞，他们必须让诺顿产品连接到恶意的服务器才行，而这不容易做到。诺顿产品是配置为只与诺顿服务器通信，所以实际上对于含有易受攻击的 OpenSSL 库的诺顿产品的影响很小。
  虽然在理论上有此可能性 (即使是微乎其微)，也就是用户的网络可能会受到攻击，而他们的网络通信量会被重定向到远程的服务器，例如遭受 DNS 诈骗。在这种情况下，是可以想象到漏洞可能被利用了。即使有可能发生此类攻击，暴露的也只是诺顿产品和诺顿服务器之间有关可能是恶意文件的交换信息。
  不过，为了消弥这微小的可能性，我们还是在 4 月 10 日发布了入侵防护特征。此特征会检测诺顿产品和服务器之间所传送的检测信号要求通信中，是否有格式错误的有效负载长度。此特征会禁止及阻止 Heartbleed 漏洞，让您的诺顿产品免受影响。而可永久修复受影响诺顿产品的更新，将会在几周内发布。当有新版本可用时，本文也会更新。
  
  

诺顿网站是否受到 Heartbleed 漏洞的影响？

• 否，诺顿网站未受到漏洞的影响。
  
  

诺顿帐户是否受到 Heartbleed 漏洞的影响？

• 否，诺顿帐户未受到漏洞的影响。虽然更改密码不是必要的，我们仍建议您考虑这么做。经常更改密码一向是个安全做法。
  
  

什么是 Heartbleed 漏洞？

• Heartbleed 是安全研究人员对于在许多网站经常使用的软件中发现的一个严重漏洞所给予的一个名称。该软件称为 OpenSSL，是用来对您在网站间发送和接收的信息进行加密，例如您的登录名和密码或者其他敏感信息。您通常可以识别何时网站对于信息进行加密，您可以在浏览器中靠近网站地址处看到一个锁起来的小挂锁。
  
  
  OpenSSL 1.0.1 版到 1.0.1f (含) 版都含有该漏洞。不幸的是，许多不同软件都采用此项加密，而要得知特定网站执行的 OpenSSL 版本是否就是含有该漏洞的版本，并不容易。我们相信大多数的大型网站都会迅速对此 Heartbleed 漏洞的消息做出反应，并且予以修复。不过，每个网站都这么做的话，需要非常长的时间。
  
  

有没有什么方法我可以检查网站是否仍然含有 Heartbleed 漏洞？

• 有，诺顿已经提供下列网页，您可以输入您要检查的网站的地址。
  http://safeweb.norton.com/heartbleed
  您必须输入该网站全部的 https 地址。
  
  
  此页将返回结果指出网站是否仍然易受到 Heartbleed 攻击。
  
  

诺顿产品能保护我的电脑免受 Heartbleed 攻击吗？

• 当您与第三方网站通信时，诺顿产品可保护您的电脑免受攻击。4 月 10 日已针对所有诺顿安全产品，发布新的入侵防护特征。此特征会检测诺客户端和服务器之间所传送的检测信号要求通信中，是否有格式错误的有效负载长度。此特征会禁止并阻止 Heartbleed 漏洞，让您的诺顿产品免受影响。
  请谨记 Heartbleed 漏洞主要出现在第三方网站。这类网站可能不论日夜随时都会受到攻击者的攻击。这类攻击可能发生在您未连接到该网站时。这时，您存储在第三方网站上的个人信息可能会泄露。因此，您必须采取另外的措施保护自己。
  
  

我可以做什么来保护我的个人数据？

• 以下是一些提示，请记住接下来几周甚至几个月，这可帮助您在进行网上冲浪和在线互动时保护您的敏感信息的安全：
  
  
  • 更改您的密码：在有关于您的敏感信息的所有网站上，您都应该尽快更改您的密码。您也应该确认该网站不包含 Heartbleed 漏洞，可通过使用下列诺顿网页：http://safeweb.norton.com/heartbleed。您必须输入该网站全部的 https 地址。
  • 切勿在多个网站使用相同的用户名和密码：在所有网站上使用相同的用户名和密码，相当于您对于家门、汽车和办公室等都使用同一把钥匙。遗失该把钥匙并且让犯罪者拿到的话，即表示他们可自由进出您拥有的所有联机帐户。如果您需要访问许多网站，如同多数人近来所做的；建议您使用安全的密码管理器来帮助您创建、管理唯一的强密码。
  • 确保您避免使用简易密码：使用大小写字母的组合并搭配几个数字是个不错的开始。此外，密码越长越好。
  • 特别注意电子邮件帐户：许多网站使用电子邮件来重新设置您的密码。这表示如果有攻击者能够访问您的电子邮件帐户，他们便可轻易地存取您的许多其他网站帐户。我们建议您利用此机会重新设置您的电子邮件密码。如果您的电子邮件提供商提供此服务，请考虑采用双因素验证。
  • 特别提防诈骗：像 Heartbleed 这类新闻对于诈骗者来说宛如一首乐曲。他们会利用这类事件，通过发送假的电子邮件，要求不疑有他的用户更改密码以防范 Heartbleed 漏洞。这样的消息叫做欺诈消息。他们可能是难以察觉的。虽然诺顿产品擅于检测和阻拦它们，如果您收到消息要求您重新设置密码，我们建议您不要单击电子邮件中的任何链接，而是手动在浏览器中键入地址导航到该网站。
  • 留意您的敏感联机帐户：不管怎样，时常多加留意总是好的，尤其是最近，要特别注意联机帐户 (银行、电子邮件等) 以及银行和信用卡对帐单，查看是否有不寻常的交易。
    
    
  
  

黑鹰99

铁壳别光顾着诺顿呀！期待铁壳把企业版也来个大更新

尘梦幽然

黑鹰99 发表于 2014-5-2 13:25
铁壳别光顾着诺顿呀！期待铁壳把企业版也来个大更新

企业版在漏洞曝光后72小时就发布补丁包了（英文）……后面还有各语言更新是一周之内就全部发布了。

黑鹰99

尘梦幽然 发表于 2014-5-2 13:29
企业版在漏洞曝光后72小时就发布补丁包了（英文）……后面还有各语言更新是一周之内就全部发布了。

这样子还好，不能厚此薄彼嘛