郭麗娟 張琳琳

摘要：本文概述了近年來信息安全漏洞事件及相關(guān)研究進展，從網(wǎng)絡(luò)空間分層模型的角度對新增漏洞進行分類，討論了新增漏洞的特點，最后總結(jié)了信息安全漏洞的發(fā)展趨勢。

關(guān)鍵詞：信息安全漏洞;漏洞分類;漏洞趨勢

網(wǎng)絡(luò)空間（cyberspace）是在傳統(tǒng)互聯(lián)網(wǎng)基礎(chǔ)上，引入復(fù)雜電磁環(huán)境域和控制域，形成了物與物互聯(lián)、人與物互聯(lián)的復(fù)雜空間。漏洞研究對提高網(wǎng)絡(luò)空間的安全性有重要支撐作用。然而，漏洞存在的長期性、潛伏性、頻繁性和破壞性都給安全漏洞研究帶來了巨大挑戰(zhàn)。信息安全漏洞研究至今仍然是一個開放性問題，在網(wǎng)絡(luò)空間領(lǐng)域中占有重要地位。

該項研究的主要需求可歸結(jié)為以下三個方面：（1）從國家安全角度考慮，需要盡可能發(fā)現(xiàn)國家基礎(chǔ)性設(shè)施的安全漏洞，做到未雨綢繆。（2）從安全防護角度考慮，需要對不同的安全漏洞進行針對性的防護設(shè)計，做到有的放矢。（3）從開發(fā)和測試角度考慮，需要指出軟件在開發(fā)與測試過程中潛在的安全漏洞，不斷提升軟硬件產(chǎn)品自身的安全。

1 ?網(wǎng)絡(luò)空間分層模型

網(wǎng)絡(luò)空間實際上是一種萬物互聯(lián)的空間。本節(jié)參考OSI的七層模型，給出了網(wǎng)絡(luò)空間的分層型。物理層主要由PC主機、移動終端、可穿戴設(shè)備、工控設(shè)備、智能汽車和無人機等可接入網(wǎng)絡(luò)空間的物理硬件實體及相應(yīng)的固件構(gòu)成。接入層主要是指物理實體的接入方式，包括以太網(wǎng)總線、CAN總線、無線wifi、射頻信號接入或衛(wèi)星通信接入等。網(wǎng)絡(luò)空間的傳輸層含義與傳統(tǒng)互聯(lián)網(wǎng)相似。它們間的主要不同在于，傳統(tǒng)互聯(lián)網(wǎng)的傳輸層主要以TCP/IP協(xié)議為主，而網(wǎng)絡(luò)空間的路由層和傳輸層的協(xié)議種類更多，除TCP/IP協(xié)議外還包括工控協(xié)議Modbus、DNP3協(xié)議等。應(yīng)用層安全漏洞研究對象包括應(yīng)用軟件、系統(tǒng)服務(wù)、應(yīng)用層協(xié)議等。下面將針對該模型中每一層所體現(xiàn)的典型的新漏洞進行詳細分析。分別是物理層、接入層、傳輸層、應(yīng)用層。

2 ?安全漏洞分析

本節(jié)從物理層到應(yīng)用層，對近幾年新出現(xiàn)的安全漏洞進行歸類并分析，現(xiàn)詳述之。

2.1 ?物理層漏洞分析

該層次的安全主要包括通信線路、物理設(shè)備、機房的安全等。

2015年7月6口，烏云發(fā)布聯(lián)想X330空氣凈化器存在安全漏洞，即該凈化器繞過用戶綁定可任意控制他人設(shè)備，具體而言，該漏洞是使用錯誤的設(shè)備密碼調(diào)用聯(lián)想X330凈化器的特定接，服務(wù)器會返回正確的密碼，利用這個正確的設(shè)備密碼，就可以控制任意在線的X330設(shè)備。

物理層設(shè)備是構(gòu)建網(wǎng)絡(luò)空間的基礎(chǔ)和核心。倘若物理層設(shè)備不安全、不可靠，就很難確保七層系統(tǒng)和服務(wù)的安全性。

2.2接入層漏洞分析

接入層漏洞是指硬件設(shè)備在聯(lián)網(wǎng)過程中所存在的安全缺陷，例如設(shè)備接入方武的缺陷，控制環(huán)節(jié)的缺陷等。

波音787夢想客機的內(nèi)部電源供應(yīng)系統(tǒng)中存在安全漏洞，即在連續(xù)多天提供電力之后，飛機的四個主發(fā)電機控制單元將同時停止工作。該漏洞可致使飛機在飛行過程中失去控制。

接入層的安全漏洞是實施網(wǎng)絡(luò)攻擊常用的突破口。2015年在接入層出現(xiàn)的安全漏洞事件使我們更為深刻地意識到電磁輻射引起的信息泄露問題。實際上，從攻擊者的角度而言，即使目標設(shè)備存在電磁泄露，要高效且準確地過濾噪聲并提取有價值的信息也是極其困難的。

2.3傳輸層漏洞分析

最常見的攻擊是TCP會話劫持，該劫持是劫持一個現(xiàn)存的會話，利用合法用戶進行連接并通過驗證，之后順其自然接管會話。

2015年3月6日發(fā)布了OpenSSL Freak Attack漏洞，編號為CVE-2015-0204。該漏洞是由于OpenSSL庫里的s3_clnt.c文件中的ss13_get_key_exchange函數(shù)，允許客戶端使用一個弱RSA秘鑰，向SSL服務(wù)端發(fā)起RSA-to-EXPORT_RSA的降級攻擊，以此進行暴力破解，得到服務(wù)端秘鑰。該漏洞存在于OpenS-SL版本0.9.8zd之前，或1.0.0p之前的1.0.0，或1.0.1k之前的1.0.1。

近年來，有關(guān)于OpenSSL的安全漏洞頻繁公布。這使得我們開始質(zhì)疑傳輸層開源軟件的安全性。對現(xiàn)有的開源軟件源代碼進行全面的審計和安全性測試勢在必行。此外，軟件設(shè)計的邏輯缺陷隱藏深、挖掘難，一直是安全漏洞研究的難點問題。

2.4應(yīng)用層漏洞分析

應(yīng)用層安全防護方面，存在的安全隱患有：

一是沒有流量檢測手段，從而無法對網(wǎng)絡(luò)中的各種流量進行識別與控制，也就無法實現(xiàn)對網(wǎng)絡(luò)應(yīng)用系統(tǒng)、網(wǎng)絡(luò)基礎(chǔ)設(shè)施和網(wǎng)絡(luò)性能的有效保護;

二是無法控制非業(yè)務(wù)數(shù)據(jù)流對帶寬的占用（如即時通訊軟件等），無法保證關(guān)鍵網(wǎng)絡(luò)應(yīng)用系統(tǒng)所需的帶寬。

2015年8月17日，安卓系統(tǒng)被曝存在兩個漏洞，這些漏洞可破壞手機和平板電腦中特定的短信功能。第一個漏洞，即CVF-2015-3839，該漏洞允許攻擊者將惡意信息注入系統(tǒng)的短信應(yīng)用程序之中，引起程序崩潰從而達到阻止用戶發(fā)送或接收信息的日的。第二個漏洞，即CVE-2015 -3840，該漏洞允許攻擊者篡改短信或彩信的發(fā)送/接收狀態(tài)，這將導(dǎo)致用戶發(fā)送多條付費信息。

3 安全漏洞趨勢分析

根據(jù)國家信息安全漏洞共享平臺的信息安全月通報，從漏洞類型來看，跨站腳本類安全漏洞、緩沖區(qū)溢出漏洞、權(quán)限許可和訪問控制類安全漏洞、信息泄露漏洞最為頻繁。從各層危急和高危的漏洞數(shù)量而言，應(yīng)用層的漏洞數(shù)量最多，主要體現(xiàn)在web瀏覽器漏洞、Adobe漏洞、操作系統(tǒng)服務(wù)漏洞和移動終端應(yīng)用漏洞。此外，2015年的“?？低暋北O(jiān)控設(shè)備漏洞和聯(lián)想X330空氣凈化器漏洞應(yīng)該引起我們對“弱口令”漏洞的重視。弱口令應(yīng)該是最容易規(guī)避且最易被修復(fù)的漏洞，然而“弱口令”漏洞不減反增，這主要是由于“弱口令”漏洞挖掘不再依賴單純的密碼破解技術(shù)，更多依賴于登錄或認證程序所出現(xiàn)的邏輯缺陷。

參考文獻：

[1]鄭曉妹.信息系統(tǒng)安全模型分析[J].安徽技術(shù)師范學院學報，2006 （1）.

[2]高攀，陳景春.VC. net/GS選項分析[J].成都信息工程學院學報，2005（3）.

[3]王世明，入侵檢測技術(shù)原理剖析及其應(yīng)用實例[J].燕山大學學報，2004（4）.

[4]劉洪輝.基于Windows平臺的認證系統(tǒng)的開發(fā)[J].電腦開發(fā)與應(yīng)用，2006（5）.