郭麗娟 張琳琳

摘要：本文概述了近年來信息安全漏洞事件及相關(guān)研究進(jìn)展，從網(wǎng)絡(luò)空間分層模型的角度對(duì)新增漏洞進(jìn)行分類，討論了新增漏洞的特點(diǎn)，最后總結(jié)了信息安全漏洞的發(fā)展趨勢(shì)。

關(guān)鍵詞：信息安全漏洞;漏洞分類;漏洞趨勢(shì)

網(wǎng)絡(luò)空間（cyberspace）是在傳統(tǒng)互聯(lián)網(wǎng)基礎(chǔ)上，引入復(fù)雜電磁環(huán)境域和控制域，形成了物與物互聯(lián)、人與物互聯(lián)的復(fù)雜空間。漏洞研究對(duì)提高網(wǎng)絡(luò)空間的安全性有重要支撐作用。然而，漏洞存在的長(zhǎng)期性、潛伏性、頻繁性和破壞性都給安全漏洞研究帶來了巨大挑戰(zhàn)。信息安全漏洞研究至今仍然是一個(gè)開放性問題，在網(wǎng)絡(luò)空間領(lǐng)域中占有重要地位。

該項(xiàng)研究的主要需求可歸結(jié)為以下三個(gè)方面：（1）從國(guó)家安全角度考慮，需要盡可能發(fā)現(xiàn)國(guó)家基礎(chǔ)性設(shè)施的安全漏洞，做到未雨綢繆。（2）從安全防護(hù)角度考慮，需要對(duì)不同的安全漏洞進(jìn)行針對(duì)性的防護(hù)設(shè)計(jì)，做到有的放矢。（3）從開發(fā)和測(cè)試角度考慮，需要指出軟件在開發(fā)與測(cè)試過程中潛在的安全漏洞，不斷提升軟硬件產(chǎn)品自身的安全。

1 ?網(wǎng)絡(luò)空間分層模型

網(wǎng)絡(luò)空間實(shí)際上是一種萬物互聯(lián)的空間。本節(jié)參考OSI的七層模型，給出了網(wǎng)絡(luò)空間的分層型。物理層主要由PC主機(jī)、移動(dòng)終端、可穿戴設(shè)備、工控設(shè)備、智能汽車和無人機(jī)等可接入網(wǎng)絡(luò)空間的物理硬件實(shí)體及相應(yīng)的固件構(gòu)成。接入層主要是指物理實(shí)體的接入方式，包括以太網(wǎng)總線、CAN總線、無線wifi、射頻信號(hào)接入或衛(wèi)星通信接入等。網(wǎng)絡(luò)空間的傳輸層含義與傳統(tǒng)互聯(lián)網(wǎng)相似。它們間的主要不同在于，傳統(tǒng)互聯(lián)網(wǎng)的傳輸層主要以TCP/IP協(xié)議為主，而網(wǎng)絡(luò)空間的路由層和傳輸層的協(xié)議種類更多，除TCP/IP協(xié)議外還包括工控協(xié)議Modbus、DNP3協(xié)議等。應(yīng)用層安全漏洞研究對(duì)象包括應(yīng)用軟件、系統(tǒng)服務(wù)、應(yīng)用層協(xié)議等。下面將針對(duì)該模型中每一層所體現(xiàn)的典型的新漏洞進(jìn)行詳細(xì)分析。分別是物理層、接入層、傳輸層、應(yīng)用層。

2 ?安全漏洞分析

本節(jié)從物理層到應(yīng)用層，對(duì)近幾年新出現(xiàn)的安全漏洞進(jìn)行歸類并分析，現(xiàn)詳述之。

2.1 ?物理層漏洞分析

該層次的安全主要包括通信線路、物理設(shè)備、機(jī)房的安全等。

2015年7月6口，烏云發(fā)布聯(lián)想X330空氣凈化器存在安全漏洞，即該凈化器繞過用戶綁定可任意控制他人設(shè)備，具體而言，該漏洞是使用錯(cuò)誤的設(shè)備密碼調(diào)用聯(lián)想X330凈化器的特定接，服務(wù)器會(huì)返回正確的密碼，利用這個(gè)正確的設(shè)備密碼，就可以控制任意在線的X330設(shè)備。

物理層設(shè)備是構(gòu)建網(wǎng)絡(luò)空間的基礎(chǔ)和核心。倘若物理層設(shè)備不安全、不可靠，就很難確保七層系統(tǒng)和服務(wù)的安全性。

2.2接入層漏洞分析

接入層漏洞是指硬件設(shè)備在聯(lián)網(wǎng)過程中所存在的安全缺陷，例如設(shè)備接入方武的缺陷，控制環(huán)節(jié)的缺陷等。

波音787夢(mèng)想客機(jī)的內(nèi)部電源供應(yīng)系統(tǒng)中存在安全漏洞，即在連續(xù)多天提供電力之后，飛機(jī)的四個(gè)主發(fā)電機(jī)控制單元將同時(shí)停止工作。該漏洞可致使飛機(jī)在飛行過程中失去控制。

接入層的安全漏洞是實(shí)施網(wǎng)絡(luò)攻擊常用的突破口。2015年在接入層出現(xiàn)的安全漏洞事件使我們更為深刻地意識(shí)到電磁輻射引起的信息泄露問題。實(shí)際上，從攻擊者的角度而言，即使目標(biāo)設(shè)備存在電磁泄露，要高效且準(zhǔn)確地過濾噪聲并提取有價(jià)值的信息也是極其困難的。

2.3傳輸層漏洞分析

最常見的攻擊是TCP會(huì)話劫持，該劫持是劫持一個(gè)現(xiàn)存的會(huì)話，利用合法用戶進(jìn)行連接并通過驗(yàn)證，之后順其自然接管會(huì)話。

2015年3月6日發(fā)布了OpenSSL Freak Attack漏洞，編號(hào)為CVE-2015-0204。該漏洞是由于OpenSSL庫里的s3_clnt.c文件中的ss13_get_key_exchange函數(shù)，允許客戶端使用一個(gè)弱RSA秘鑰，向SSL服務(wù)端發(fā)起RSA-to-EXPORT_RSA的降級(jí)攻擊，以此進(jìn)行暴力破解，得到服務(wù)端秘鑰。該漏洞存在于OpenS-SL版本0.9.8zd之前，或1.0.0p之前的1.0.0，或1.0.1k之前的1.0.1。

近年來，有關(guān)于OpenSSL的安全漏洞頻繁公布。這使得我們開始質(zhì)疑傳輸層開源軟件的安全性。對(duì)現(xiàn)有的開源軟件源代碼進(jìn)行全面的審計(jì)和安全性測(cè)試勢(shì)在必行。此外，軟件設(shè)計(jì)的邏輯缺陷隱藏深、挖掘難，一直是安全漏洞研究的難點(diǎn)問題。

2.4應(yīng)用層漏洞分析

應(yīng)用層安全防護(hù)方面，存在的安全隱患有：

一是沒有流量檢測(cè)手段，從而無法對(duì)網(wǎng)絡(luò)中的各種流量進(jìn)行識(shí)別與控制，也就無法實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)應(yīng)用系統(tǒng)、網(wǎng)絡(luò)基礎(chǔ)設(shè)施和網(wǎng)絡(luò)性能的有效保護(hù);

二是無法控制非業(yè)務(wù)數(shù)據(jù)流對(duì)帶寬的占用（如即時(shí)通訊軟件等），無法保證關(guān)鍵網(wǎng)絡(luò)應(yīng)用系統(tǒng)所需的帶寬。

2015年8月17日，安卓系統(tǒng)被曝存在兩個(gè)漏洞，這些漏洞可破壞手機(jī)和平板電腦中特定的短信功能。第一個(gè)漏洞，即CVF-2015-3839，該漏洞允許攻擊者將惡意信息注入系統(tǒng)的短信應(yīng)用程序之中，引起程序崩潰從而達(dá)到阻止用戶發(fā)送或接收信息的日的。第二個(gè)漏洞，即CVE-2015 -3840，該漏洞允許攻擊者篡改短信或彩信的發(fā)送/接收狀態(tài)，這將導(dǎo)致用戶發(fā)送多條付費(fèi)信息。

3 安全漏洞趨勢(shì)分析

根據(jù)國(guó)家信息安全漏洞共享平臺(tái)的信息安全月通報(bào)，從漏洞類型來看，跨站腳本類安全漏洞、緩沖區(qū)溢出漏洞、權(quán)限許可和訪問控制類安全漏洞、信息泄露漏洞最為頻繁。從各層危急和高危的漏洞數(shù)量而言，應(yīng)用層的漏洞數(shù)量最多，主要體現(xiàn)在web瀏覽器漏洞、Adobe漏洞、操作系統(tǒng)服務(wù)漏洞和移動(dòng)終端應(yīng)用漏洞。此外，2015年的“?？低暋北O(jiān)控設(shè)備漏洞和聯(lián)想X330空氣凈化器漏洞應(yīng)該引起我們對(duì)“弱口令”漏洞的重視。弱口令應(yīng)該是最容易規(guī)避且最易被修復(fù)的漏洞，然而“弱口令”漏洞不減反增，這主要是由于“弱口令”漏洞挖掘不再依賴單純的密碼破解技術(shù)，更多依賴于登錄或認(rèn)證程序所出現(xiàn)的邏輯缺陷。

參考文獻(xiàn)：

[1]鄭曉妹.信息系統(tǒng)安全模型分析[J].安徽技術(shù)師范學(xué)院學(xué)報(bào)，2006 （1）.

[2]高攀，陳景春.VC. net/GS選項(xiàng)分析[J].成都信息工程學(xué)院學(xué)報(bào)，2005（3）.

[3]王世明，入侵檢測(cè)技術(shù)原理剖析及其應(yīng)用實(shí)例[J].燕山大學(xué)學(xué)報(bào)，2004（4）.

[4]劉洪輝.基于Windows平臺(tái)的認(rèn)證系統(tǒng)的開發(fā)[J].電腦開發(fā)與應(yīng)用，2006（5）.