SSL：你的网络盲点

本周二，OpenSSL发布“神秘”更新版本，修补了几个安全漏洞，包括一个高危漏洞。之所以称神秘是因为官方并未给出这些漏洞的细节，可能是为了防止黑客了解，也可能是为了给机构留出打补丁的时间。但这个更新则引发了下面的内容：

你无法防护你看不到的地方

如果把网络流量比做公路上的汽车，那么加密流量就如同封闭的无法看到其内部的汽车，检查人员（即防火墙、入侵检测等）无法得知其中隐藏的数据。那么这种情况有多严重呢？

1. NSS实验室一份2013年的报告显示，企业网络流量的25%到35%是SSL加密的。

2.另一份Palo Alto网络的应用程序及使用风险报告显示，36%的企业流量是加密的。

3.越来越多的网站要求默认使用SSL。

4.谷歌最近宣布，要开始帮助使用SSL的网站建立搜索排名。

从去年的心脏滴血到今年的贵宾犬，再到最近的疯怪（Freak），OpenSSL接连爆出重大漏洞。更严重的是，SSL的问题不仅于此，因为你如何防护你看不到的地方？

可以考虑的解决方案

有什么办法来应对这种流量加密趋势呢？答案是非常困难，但可以从以下几点进行考虑：

1.加固终端安全。终端安全解决方案可以对流量的流入或流出进行检测，前提是在工作站上对流量进行解密。

2.内容过滤。即使流量是经过加密的，一些安全工具也能够通过SSL证书中的信息对流量内容进行过滤，并基于信誉数据库进行允许或拒绝操作。

3. SSL解密。所有在服务器与客户端之间输送的加密流量都能可以被基于网络的安全工具解密，也可以被网络安全系统检测。

这样做对企业意味着什么？

考虑到企业网络上已经被加密的流量，以及越来越多的网站开始实施成本日益降低的SSL加密，一个未来所有的网络流量都是SSL加密的日子为期不远了。这种场景下，对于一直致力于隐藏自身活动的恶意黑客们，逃避安全检测也将变得更加容易。

你知道你的网络流量有多少被加密了吗？你当前的安全计划包括了加密的流量吗？你们机构的决策者知道基于网络的安全工具对很大一部分网络流量是无用的吗？你做好如何应对日益增长的加密流量的计划了吗？

如果上述问题的答案是不，那还等什么？赶紧行动去吧！