您现在的位置是：首页 > 科技网站首页科技

互联网可以使学生变成老师；互联网可以使名不见经传的人闻名天下；互联网可以结交志同道合的朋友；互联网可以让自己获取最多的知识，改变以往的传统的学习方式。下面分享一篇关于互联网的文章供大家阅读。

一位研究人员说，近三年来，openwrt——家用路由器和其他类型嵌入式系统的开源操作系统——一直很容易受到远程代码执行攻击，因为更新是通过未加密的通道进行的，而且数字签名验证很容易被绕过。

OpenWRT有一群忠实的用户，他们使用免费提供的包作为设备上安装的固件的替代品。除了路由器，OpenWRT还可以在智能手机、掌上电脑、甚至笔记本电脑和台式电脑上运行。用户通常会发现OpenWRT是一种更安全的选择，因为它提供了高级功能，而且源代码易于审计。

然而，安全研究人员Guido Vranken最近发现，更新和安装文件是通过未加密的HTTPs连接传送的，这种连接容易受到攻击，允许对手完全用恶意更新取代合法更新。研究人员还发现，对于有一定经验的攻击者来说，绕过数字签名检查来验证下载的更新是否为OpenWTR维护者提供的合法更新是非常简单的。这两种漏洞的结合使得发送恶意更新成为可能，而易受攻击的设备将自动安装恶意更新。

这些代码执行漏洞在其范围内是有限的，因为对手必须能够进行中间人攻击，或者篡改设备用于在Internet上查找更新的DNS服务器。这意味着网络上没有恶意用户且使用合法DNS服务器的路由器不会受到攻击。Vranken还推测，包欺骗或ARP缓存中毒也可能使攻击成为可能，但他警告说，他没有测试这两种方法。

尽管有这些要求，但许多网络连接着设备运营商不认识或不信任的人。更重要的是，取代指向合法DNS的路由器设置而指向恶意DNS的攻击是互联网上的现实，就像这里、这里、这里和这里(仅举几例)的攻击一样。

使用HTTPS加密的失败是这个弱点的一个原因。HTTPS提供的加密使附近的攻击者不可能在数据传输过程中篡改数据。HTTPS中内置的身份验证保证也使得攻击者无法模拟downloads.openwrt.org，这是一个真正的OpenWRT服务器，提供合法的更新和安装文件。