玩掃帚刺破同學眼球 學生.學校判賠199萬－民視新聞
据SANS互联网风暴中心的一位分析师称，在一个程序中用于安全地连接互联网上的服务器的软件漏洞声称可能是一个骗局。
该程序名为OpenSSH（ Secure Shell）安装在由红帽，惠普，苹果和IBM等供应商制造的数千万台服务器上。管理员使用它来与其他计算机建立加密连接，并执行远程更新文件等任务。 OpenSSH是开源版本，并且有商业版本的程序。
本周早些时候，SANS收到一封匿名电子邮件，声称在OpenSSH中存在零日漏洞，这意味着该软件中存在漏洞随着它变成公众而被利用。这是最危险的软件漏洞类型，因为它意味着还没有修复它，坏人也知道它。
[更多阅读：如何从Windows PC中删除恶意软件]真正的零日漏洞在OpenSSH中可能会对互联网造成毁灭性打击，使得黑客可以全天候访问服务器和个人电脑，直到解决方案或修补程序准备就绪。“这就是为什么我认为人们实际上正在造成相当恐慌的原因，”他说。 Infinity公司的分析师兼高级信息安全顾问Bojan Zdrnja是一家位于克罗地亚萨格勒布的安全和渗透测试公司。 “现在人们不应该感到恐慌，目前没有任何事情表明在野外利用漏洞。”
在OpenSSH中真正的零日漏洞的证据很弱，Zdrnja说。到目前为止，分析师还没有看到有效的漏洞，尽管担心一个名为Anti-Sec的组织可能会找到一个允许他们控制Web服务器的零日。关于黑客攻击的详细信息发布在Full Disclosure上，这是一个未公开的安全信息论坛。
当有人要求了解更多详情时，一名声称是Anti-Sec一员的人写了一封电子邮件给IDG新闻服务， '不允许真正讨论这个漏洞（或者是否存在）“，这个签名是”Anonymous“。
Zdrnja表示，最近同一个团体对另一台服务器进行了破坏，但它似乎是一次暴力攻击OpenSSH的。暴力攻击是黑客为了访问服务器而尝试许多身份验证凭证的组合。 Zdrnja表示，如果管理员正在使用的是使用简单的登录和密码，它会使服务器更容易受到暴力攻击。
两台受感染的服务器都由同一个人运行。 “我想我们在这里处理的是两个黑客在彼此之间的战争中，”Zdrnja说，“但还有其他因素表明OpenSSH不存在零日。 Zdrnja表示，如果零日存在，黑客或许更有可能将其用于比最近受到攻击的服务器更高端的服务器上。
OpenSSH的开发人员之一Damien Miller也将冷水在零日的可能性上。米勒周三在OpenSSH论坛上写道，他与所谓的零日受害者交换了电子邮件，但攻击似乎是“简单的蛮力”。“所以，我不相信零日存在，“米勒写道。 “迄今为止唯一的证据是一些匿名的谣言和无法证实的入侵记录。”
Zdrnja说，OpenSSH中所谓的零日和漏洞之间似乎也存在一些混淆。根据英国的一份通知，该漏洞可能允许攻击者从标准配置中使用SSH协议保护的连接中的任意密文块中恢复32位纯文本。保护国家基础设施中心（CPNI）。
CPNI表示，该漏洞的严重性被认为是高的，但成功开发的可能性很低。 Zdrnja表示，管理员可以使用公钥和私钥在OpenSSH中实施更强大的身份验证机制，以防止成功的攻击。在一份咨询中，OpenSSH也表示成功攻击的可能性很低。