原标题：OpenSSL存在旁路攻击漏洞，光靠拦截手机电磁讯号就能取得金钥
示意图，与新闻事件无关。
美国乔治亚理工学院的安全研究人员近日揭露了OpenSSL的旁路攻击漏洞，可利用软件无线电装置来拦截手机的电磁讯号并汲取出金钥。
OpenSSL为加密通讯协议SSL与TLS的开源版，能够防止窃听，也能用以确认另一方的身份，已被广泛地应用在网站伺服器上。
至于研究人员揭露的旁路攻击则可自运作中的装置拦截其电子活动所产生的各种讯号，这些讯号包括来自装置运算与供电电流的电磁辐射、功耗的变化，以及声音、温度与机壳的潜在变化，但这些讯号与装置的通讯讯号极为不同，因此可清楚分辨。
研究人员实验了两台Android手机与一个嵌入式系统版，它们全都采用时脉介于800 MHz到1.1 GHz的ARM处理器，相关的讯号可通过40 MHz频段传递，而诸如Ettus△B200-mini等商用的软件无线电就能捕获这些讯号，且售价不到1,000美元，把软件无线电放置在上述装置附近时，成功撷取2048 bits之RSA私钥的机率达95%以上。
有别于旧式的讯号拦截方式必须分析许多次的登录，新的攻击手法只需要窃听单次的解密循环，使得研究人员将它称为One△Done攻击，也相信它是首个不依赖快取组织或时序就能自新版OpenSSL汲取金钥的旁路攻击。
研究人员指出，由于软件无线电的体积很小，因此很容易在咖啡厅或机场使用，也能借由藏匿在桌下或家具的天线接收讯号。
One△Done攻击使用的是OpenSSL△1.1.0g版，OpenSSL团队已于今年5月修补该漏洞。
相关：
研究人员再揭PHP反序列化安全漏洞，恐使WordPress曝露远端程式攻击风险
图片来源: Secarma 来自英国资安公司Secarma的研究总监Sam△Thomas本月相继于黑帽（Black△Hat）及BSides两大安全会议上展示了PHP程式语言的反序化（Deserialization）安全漏洞，指出该漏洞影响所有接纳使用者资料的
Chrome处理影音串流资讯漏洞可被用来开采使用者脸书隐私，研究人员呼吁应尽速更新
论及使用者上网，Chrome应该是最多人使用的浏览器了，然而，最近Imperva研究人员Ron△Masas揭露，这款浏览器采用的Blink引擎，对于 video△和 audio△等HTML语法标签的处理过程有瑕疵，导致有心人士能从中窃取使用者
图片来源: Imperva 资安业者Imperva本周揭露一个存在于Chrome浏览器Blink引擎中的“跨域资讯外泄”（Cross△Origin△Information△Leak）漏洞，将允许骇客汲取Chrome用户存放在脸书、Google或其它平台上的个人资料，
开源电子健康纪录系统OpenEMR爆数个严重漏洞，病患隐私与系统安全拉警报
支援全球2亿人病历的开源电子健康纪录系统OpenEMR，遭Project△Insecurity揭露存在多个严重等级高的安全性漏洞，从身份验证旁路、SQL资料隐码、远端程式码执行以及任意档案操作等漏洞都有，OpenEMR社交已积极处理漏洞
开源DevOps服务供应商Sonatype发表DepShield，这是一个针对GitHub的应用程序，能自动识别开源相依专案程式码中的漏洞，提醒开发人员需要修补的部分，提高企业对于开源治理的能力。Sonatype提到，根据他们针对DevSecO