和“云滴血”事件相比，谷歌破解SHA-1都不算新闻 | 宅客周刊(2)

我们发现硬盘上的 LED 指示灯是个很好的突破口，它每秒最多能闪烁 6000 次。因此，黑客可以借助这些闪烁远程获取数据，数据传输速度虽然不快，但半小时就能传输 1MB。有时候，1MB 的敏感信息就能产生巨大的破坏了。”

不过，他们也敬告一些不安好心的人，想通过这种方式黑掉别人的电脑并不容易，拿无人机录下电脑上 LED 灯的闪烁连个开胃菜都算不上。因为攻击者首先要通过 USB 或 SD 卡将恶意软件植入目标系统，这样无人机才能搜集到有效信息。

最近两天大新闻不断，

6. Google震惊密码界，攻破了网络加密的基石SHA-1算法

在美国的2月23日，Google在密码学领域干了一件大事，它宣布了一个公开的SHA-1算法碰撞方法，将这种算法攻破了。这也是对曾经在密码学中最流行的 SHA-1 算法宣判死亡。

公司研究人员在博文中称，有足够的计算力（其中一个阶段就花1个GPU大约110年的计算）就能实现碰撞，有效地破解算法。

其实在之前，大家就知道这是可能的，但没人这么做过。而Google之所以要那么做，很可能是因为它想结束争论，因为放弃SHA-1也是花了行业人士不少时间和精力的，而且不是每个人都想这么做。如果直接破解了它，就能给反对的人致使一击，快速结束战斗。

小编了解到，Chrome早在2014年就开始对SHA-1加密的网页进行警告，Firefox和微软的Edge和IE也迅速跟进了。虽然现在来看，整个事件的影响不会很大，但我们应该庆幸的是，行业的进步很快，迅速弃用了原来的加密方式，否则现在来看就危险了。

不过和下面这件事相比，Google 破解 SHA-1 算法这件事简直就不是新闻：

昨日（2月24日），一个可能影响互联网为之一颤的漏洞轰然出现，知名云安全服务商 Cloudflare 被爆泄露用户 HTTPS 网络会话中的加密数据长达数月，受影响的网站预计至少200万之多，其中涉及Uber、1password 等多家知名互联网公司的服务。

据小编了解，Cloudflare 为众多互联网公司提供 CDN、安全等服务，帮助优化网页加载性能。然而由于一个编程错误，导致在特定的情况下，Cloudflare 的系统会将服务器内存里的部分内容缓存到网页中。

因此用户在访问由 Cloudflare 提供支持的网站时，通过一种特殊的方法，可以随机获取来自其他人的会话中的敏感信息。这就好比你在发邮件时，执行一个特定操作就能随机获得他人的机密邮件。虽然是随机获取，可一旦有心之人反复利用该方法，就能积少成多就能获得大量私密数据。

听起来是不是有些像当年席卷整个互联网的心脏滴血漏洞？ 因此也有网友称此次漏洞为“云滴血”。

可怕的是，该漏洞自首次被 Google 公司的安全人员发现，至今已有好几个月。也就是说，在这一期间甚至是在这之前，很可能有不法分子利用该漏洞，造访了所有Cloudflare 提供服务的网站。而Cloudflare 服务的互联网公司数量众多，其中不乏我们所熟知的优步（Uber）、OKCupid、Fibit 等等。

漏洞最初是由谷歌 Project Zero 安全团队的漏洞猎人（国内称白帽子）塔维斯·奥曼迪发现的，当时他在谷歌搜索的缓存网页中发现了大量包括加密密钥、cookie 和密码在内的数据。于是他很快告知Cloudflare ， Cloudflare 派出团队来处理此事，结果发现导致问题的几个重要操作分别发生在数天和数月之前。

有趣的是，漏洞发现者奥曼迪在帖子中特别提到，Cloudflare 的漏洞赏金最高只奖励一件T恤。因此有网友开玩笑地表示：“据说是Google的人先把这个问题报告给 Cloudflare ,但只被奖励了一件T恤，然后就在推特公开。”

，。

（编辑：ASP站长网）