我们的第一个谈话对象是李纳斯·托沃兹，Linux的传奇缔造者以及开源革命的先驱。托沃兹生于芬兰的赫尔辛基，是诗人奥尔·托沃兹的孙子。尽管他更喜欢告诉人们，他的名字来自于《花生漫画》中的角色，但事实是他是以李纳斯·鲍林——一位两次诺贝尔奖获得者的名字来命名的。他的计算机经历是从一台Commodore计算机上开始的，后来换成了Sinclair和IBM的386。他起初使用的是Minix操作系统，后来换成了他自己的Linux操作系统。托沃兹的妻子托芙是六次芬兰全国空手道冠军，婚后他们定居在加利佛尼亚的圣何塞，育有三个女儿。

技术视点（TV）：在当今的技术中，有什么令你感兴趣？

托沃兹：我差不多是个“鼠目寸光”的家伙，所以相对于那些更空洞的“大潮流”，我对实实在在的技术创新更感兴趣。

我很关注硬件厂商的新产品和最新的芯片，而最能吸引我的（因为毕竟我是个做软件的）是那些开发出新的算法和软件来充分利用这些新功能的人。

TV：那在当今科技中，什么会让你感到恼火？它是怎么以及为什么让你愤怒？

托沃兹：我不会用“愤怒”这个词，但是如果真要说技术领域中有什么让人反感的，那无疑是对那些头顶光环的“领袖”们的赞美。

是的，这种情况也发生在我身上。但是我很不喜欢人们把我以及我所说的话太当回事。我认为，现在流行的“个人崇拜”相当令人不安，即使是对于乔布斯，埃里森，盖茨等众所周知的领袖来说，这个现象也不正常。我希望更多的人能有自主思考，并能意识到技术发展实际上来源于遍布全球的那些默默无闻的伟大工程师的共同智慧。

我理解人们渴望明星，而这种事也不仅仅发生在技术世界中（嘿，我的确希望这事在技术世界中要比娱乐行业来得少 ;) ），但是，这还是有点令人沮丧。

TV：相比Red Hat和SuSE,你为什么没有抓住商业授权的机遇？难道如果Linux不开源，它就不会成为Linux了吗？你能谈谈更多情况吗？你是否曾在此事上感到过后悔？

托沃兹：我肯定不会因为任何事情自责。我现在身在一个令人羡慕的位置上，我能干我喜欢的事情，并赢得大家的尊重。况且，以前一文不得的时候我就很享受我的工作，而现在我从工作中得到了不错的报酬

我相信，很少有人能有机会做与众不同的事情，让我来告诉你吧，这种感觉真不错。对于商业，我从来都不感兴趣。对我来说，那些把Linux商业化的人替我做了我从没有动力做的事情。而这项工作的确需要人做，也很有益。因此，事实上我很感谢那些商业机构，它们让我能集中精力干我想干的那部分事情。

TV：在当今的科技界，你尊敬的人有哪些？为什么？

托沃兹：哈！这个问题又绕回了我对于“个人崇拜”的看法，对“让我们找个人并把他神化”这种事，我一点兴趣都没有。

所以，相比列出来个人名单，我更尊敬像EFF这样的组织，甚至有时候只是观念和想法。因为它们不是要单纯获取自身利益，而是努力去做一些实质性的事情来让技术在一个更大的蓝图中更好地发挥作用。

在个人层面上，我更喜欢那些不自骄自傲，同时又在他们的本职工作上干得很好的人。如果一定要我说一些知名人士，我想我更愿意成为斯蒂芬·沃兹尼克那样的人，我想这也是我尊敬他的原因。

TV：就谷歌和微软而言，你认为哪个更成功？为什么？

托沃兹：我认为，相对胜利者来说，两家公司竞争的过程才是更有趣的。

在谷歌和微软的竞争中，我真的不认为两家公司本身比技术的变革更为有趣。这种变革的本质是从对单个计算机的控制转向对成千上万独立计算机的整合。

TV：你认为像科技灾难、互联网泡沫崩溃以及电信业崩盘这样的事为什么会发生？我们在今后怎样来防止它们再发生？

托沃兹：实际上，我对此类事情持相反的看法，而且我认为没有必要去防止它们再次发生。

我坚信我们应该努力去挑战极限，而不是追求百分之百的稳定和理性 大多数技术发展都不是有规律可循的，有的像火山爆发，有的事后可能被认为是夸大其词，有的刚出来时一点都不讨人喜欢。但事实上，如果太过努力去保持理性和避免做蠢事，就会扼杀创造力。

我个人认为，真正稳定可靠的发展模式不是持续的微创新，而是通过超载和崩溃带来的系统演替。持续的微创新虽然看起来是一个好的选择，但是不经历超载和崩溃，你怎么可能发现系统的极限，并对它进行改进呢？

TV：技术在未来会怎样改变我们的生活？你会和其它领域的领军者一起创建新技术吗，比如生物信息学？

托沃兹：我个人的理论是，技术对我们的生活的改变，远没有我们构建技术来适应我们的生活来得多。

这就是为什么你看不到飞行汽车等科幻小说中受欢迎的东西——但是相反，你却看到了利用技术来降低成本，使得一些此前就存在但是却因为成本因素不能大规模应用或者量身定制的事情被更多人接受。 因此，技术很少直接改变我们的生活本身——虽然它往往意味着更多的人能获得那些以前罕见的或只限于土豪们的东西。

真正的改变发生在当某些事物变得如此廉价并且随手可得，从而改变了你的行为的时候。而在很多方面，这些行为上的改变要比技术本身来得更有趣。

例如，互联网带来的一大革命，是让你可以用极低的成本找到志趣相投的人并与他们进行交流。而且，我认为许多真正的改变正是来自于当人们无需付出太多努力就能找到其他对同一事物有相同兴趣的人时，他们的习惯会如何改变。

因此，你发现了所有的这些专业兴趣小组，许多人都在花大量时间讨论那些最神秘的问题，他们刚刚发现这些问题很有趣——这些事，你在之前不一定能实际去做，因为那时真的很难找到和你一样在某些不同寻常的专业上感兴趣的人并进行讨论。

而我认为那是生活真正改变的方式——不是因为任何新技术的出色特性，而完全是因为技术降低边际成本后带来的惊喜。

TV：就你而言，谁是当今科技界最举足轻重的人物？

托沃兹：我想大量的技术由消费市场推动，而不再是由军方或商业需求推动这一点很说明问题。我也常常认为，许多公司正在推进的愚蠢事情（特别是DRM）都忽略了一个事实：任何技术上最重要的人，最终总是“用户”。

因此，就我而言，我认为你的问题的答案是“用户”，或者叫“消费者”，而这确实是最重要的部分，因为用户正是市场需求和商业成功的根源。

TV：请谈一些你个人的观点吧，比如宗教？政治？

托沃兹：我完全是一个虔诚的——无神论者。我发现人们似乎认为宗教带给人道德和对自然的敬畏，但事实上我认为它反而把这两方面都削弱了。它给了人们借口说“哇，世界是被创造出来的”，而创世是神秘而不可测的。我更欣赏的说法是“哇，真让人难以置信，这样的事情竟然会首先发生”。具有讽刺意味的是，在许多欧洲国家，国家和宗教已经从法律意义上结合在了一起。

我现在是一位美国公民，并且我也拥有投票权。但是，坦率地说，我不支持任何政党，因为我的个人骄傲不允许我和任何政党有关联。

TV：谢谢，李纳斯！

via: http://www.huffingtonpost.com/billrobinson/techview-linus-torvalds-i_b_5338844.html

译者：GOLinux 校对：reinoir,mahua

本文由 LCTT 原创翻译，Linux中国 荣誉推出

一些从Windows转到Ubuntu的新用户可能发现，在Ubuntu下默认的Unity界面占据了一切。大多数Windows用户，也包括一些非Gnome 3用户和一些非Unity Linux用户也许在Ubuntu中看不到底部任务栏。我们都知道，Unity中的拖放操作对用户不是很友好。

不管出于什么原因，如果你在Ubuntu中想要个底部面板，那么tint就是你的菜。

在Ubuntu 14.04中添加底部任务栏

打开终端（Ctrl+Alt+T），然后输入下面的命令：

sudo apt-get install tint2

这样就把tint2安装好了。你可以在终端中输入tint2来运行它了，但这不是我们希望的方式，因为我们的并不想这么麻烦每次手工运行它。在此，我们需要让tint2来开机启动，这样每次启动Ubuntu的时候，它都会在桌面底部恭候你了。

怎样让tint2开机启动？

打开Unity Dash（按下Windows键吧），然后搜索启动程序。

打开启动程序，在那儿猛戳添加按钮，你就可以添加一个新的开机启动程序了。你可以给它起个好认的名字，那命令那栏输入tint2，然后猛戳添加，然后继续猛戳关闭来保存。如果我说得不够清楚，还是看看下面的图片吧，它应该很直观了：

好了。赶快注销并重新登录进去看看吧，任务栏会乖乖地在下面等着你了。题图看到了吗？就是那个样子的。像Conky一样，tint2也能有大量的配置选项，但要进行深度配置，你得修改配置文件了。不过就算你很懒惰，安好了啥都不做，那它也会干得很好了。你已经试过了？你感觉tint2怎么样呢？

via: http://itsfoss.com/add-windows-like-bottom-taskbar-in-ubuntu-unity-14-04/

译者：GOLinux 校对：wxy

本文由 LCTT 原创翻译，Linux中国 荣誉推出

有时候，无论是普通用户还是系统管理员，都需要知道系统运行是否良好。与系统状态相关的许多问题，都可以通过检查运行的服务所生成的日志文件来获得答案。然而，即便对于干过几年的系统管理员而言，要检查日志文件的每个细节都不是件容易的事。这也是为什么他们依赖于监控软件的原因，监控软件能够从不同的源收集信息，并以易于理解的格式给出分析报告，如图表、可视化图像、统计数据等。

市面上流传着许多复杂的系统监控软件，诸如Cacti, Nagios, Zabbix, Munin此类。在本文中，我们向您介绍一个轻量级的监控工具——Monitorix，该工具设计用于在Linux/BSD上监控系统资源和许多熟知的第三方应用程序。由于专为资源有限的嵌入式系统而优化，Monitorix以使用简单，消耗内存资源少而著称。它内建了一个HTTP服务器用于提供web界面，并使用RRDtool数据库来存储时间序列统计数据，RRDtool可以很容易地和任何脚本语言整合，如Perl，Python，shell脚本，Ruby等。

主要特性

这里列出了Monitorix的主要特性。要查看完整列表，请参阅官方网站

• 当前系统负载和系统服务
• CPU/GPU温度传感器
• 磁盘温度和健康度
• 网络/端口流量和网络状况统计
• 邮件统计
• Web服务器统计（Apache，Nginx，Lighttpd）
• MySQL负载和统计
• Squid代理统计
• NFS服务器/客户端统计
• Raspberry Pi传感器统计
• Memcached统计

在Fedora, CentOS或者RHEL上安装并配置Monitorix

首先，安装需要的软件包。注意，在CentOS上，你需要先设置 EPEL和Repoforge仓库。

$ sudo yum install rrdtool rrdtool-perl perl-libwww-perl perl-MailTools perl-MIME-Lite perl-CGI perl-DBI perl-XML-Simple perl-Config-General perl-HTTP-Server-Simple perl-IO-Socket-SSL

完成上一步后，可以通过以下命令来安装Monitorix：

$ sudo yum install monitorix 

要配置Monitorix，打开/etc/monitorix/monitorix.conf配置文件，并修改选项。关于Monitorix的配置文件细节，可以查阅http://www.monitorix.org/documentation.html。

默认情况下，内建的HTTP服务器监听8080端口。因此，确保你的防火墙没有阻止TCP 8080端口。

要启动Monitorix，只需输入以下命令：

$ sudo service monitorix start 

启动你喜爱的Web浏览器，然后通过http://:8080/monitorix来访问Monitorix的Web界面。

在Archlinux上安装并配置Monitorix

在Archlinux上，可以从AUR上下载Monitorix包。

默认情况下，在Archlinux上是禁用了其内建HTTP服务器的。要启用内建的HTTP服务器，请编辑/etc/monitorix.conf文件的如下区块。

<httpd_builtin>
        enabled = y
        host =
        port = 8080
        user = nobody
        group = nobody
        log_file = /var/log/monitorix-httpd
        hosts_deny =
        hosts_allow =
        <auth>
                enabled = n
                msg = Monitorix: Restricted access
                htpasswd = /var/lib/monitorix/htpasswd
        </auth>
</httpd_builtin>

最后，启动Monitorix服务。

打开你喜欢的Web浏览器，然后通过http://:8080/monitorix来访问Monitorix的Web界面。

在Debian和Ubuntu上安装并配置Monitorix

对于Debian家族，Monitorix可以通过两种方式安装：手工安装或通过第三方软件仓库。

手工安装(用于Debian)

首先安装所有依赖包。

$ sudo apt-get install rrdtool perl libwww-perl libmailtools-perl libmime-lite-perl librrds-perl libdbi-perl libxml-simple-perl libhttp-server-simple-perl libconfig-general-perl libio-socket-ssl-perl

从http://www.monitorix.org/downloads.html下载Monitorix包，并安装。

$ sudo dpkg -i monitorix*.deb

在安装期间，会要求你配置一个后端Web服务器。如果你正是用Apache，确保重启Apache服务来重新加载Apache配置。

$ sudo service apache2 reload 

通过软件仓库安装 (用于Ubuntu)

在/etc/apt/source.list中添加以下行来启用Izzysoft仓库。

deb http://apt.izzysoft.de/ubuntu generic universe

下载并为软件仓库添加GPG密钥。

$ wget http://apt.izzysoft.de/izzysoft.asc
$ sudo apt-key add izzysoft.asc 

使用apt-get安装Monitorix，所有依赖包也将自动安装。

$ sudo apt-get update
$ sudo apt-get install monitorix 

最后，启动Monitorix服务。

$ sudo service monitorix start 

要配置Monitorix，请使用文本编辑器编辑/etc/monitorix/monitorix.conf，并重启Monitorix服务。

$ sudo service monitorix restart 

用于Ubuntu的内建Web服务器默认启用。要从Web查看监控结果，在你喜爱的Web浏览器中访问http://8080/monitorix。

在Raspberry Pi上安装并配置Monitorix

如果想要在Raspberry Pi（基于Debian）上安装Monitorix，你不能使用上面提到的Izzysoft仓库，因为它不提供Monitorix的ARM移植。取而代之的是，你可以参照如下基于Debian的手工安装。

首先，安装需要的软件包。

$ sudo apt-get install rrdtool perl libwww-perl libmailtools-perl libmime-lite-perl librrds-perl libdbi-perl libxml-simple-perl libhttp-server-simple-perl libconfig-general-perl libio-socket-ssl-perl

如果某些需要的软件包没有安装，我们需要使用此命令来强制安装。

$ sudo apt-get -f install 

从http://www.monitorix.org/downloads.html下载Monitorix软件包(monitorixx.x.x-izzy1all.deb)。

使用下面的命令来安装Monitorix包。

$ sudo dpkg -i monitorix_x.x.x-izzy1_all.deb 

安装完成后，我们需要像下面这样对Monitorix配置稍作修改。

用你喜爱的文本编辑器打开/etc/monitorix/monitorix.conf，向下滚动文本直到你找到。搜索“raspberrypi = n”，并用“y”替换“n”，这将启用对Raspberry Pi时钟频率、温度和电压的监控。

编辑完成后，重启Monitorix服务。

$ sudo service monitorix restart 

默认情况下，Monitorix的内建HTTP Web服务器会被启用。要访问Monitorix的Web界面，访问此地址http://:8080/monitorix。

Monitorix截图(Raspberry Pi上)

Monitorix主屏幕:

系统平均负载和使用情况图示:

活动进程图示:

在主屏幕中选择“Raspberry Pi”部分下的“时钟频率”，你会看到Raspberry Pi的时钟频率、温度和电压的图示：

所有监控图示：

via: http://xmodulo.com/2014/05/web-based-lightweight-system-monitor-linux.html

译者：GOLinux 校对：wxy

本文由 LCTT 原创翻译，Linux中国 荣誉推出

一些Windows用户，希望试试Linux操作系统，而不用删除他正在使用的系统。令人高兴的是，想尝试下Linux是非常简单的，而且Linux操作系统也能和其他操作系统在同一台机器上和平共处。

举个例子，如果你是Windows用户，想试试Ubuntu，这个过程实际上是相当简单的，用户只需要付出一点小小的努力即可，这个过程中稍微注意一点就行了。

在PC上正常安装一个操作系统并不复杂，甚至是Ubuntu和其它Linux也一样简单。在大多数情况下，用户单击对话框的“下一步”，按照流程进行即可。当你想保留PC上的原来的操作系统时（并不特指Windows），还需要多一点操作才行，但是很简单。

在Linux下刻录一个ISO镜像是很容易的，有好几个程序可以提供这样的功能。而在Windows下，你可以将Ubuntu刻录到DVD或制作成USB启动盘（这样更好一些）。要将Ubuntu正确复制到一个USB设备，你将需要下载名为Win32 Disk Imager 0.9.5一个小工具。它具有一个简单的界面，是完全自动的。

在重启机器以安装Ubuntu前，你要给Ubuntu一些可用的磁盘空间，而且给Ubuntu一个磁盘分区是不够的。你将需要两个，一个放Ubuntu本身（大约10GB，如果你不想安装太多的应用的话，就足够了），第二个是交换分区（类似于Windows的页面文件），它的大小一般是你的内存的两倍。你不需要格式化它们，只要他们是可用的就行。如果你在第二块空闲硬盘安装Ubuntu，那就更简单了。

插上USB启动盘并重新启动。你会得到一个提示，询问是“试用”还是“安装”。选择“安装”并选择安装方式：安装Ubuntu和Windows 8并存（或任何你拥有的其他版本），用Ubuntu替换Windows 8，或者别的选项。

你可以选择“和Windows 8并存安装”，但你也许不喜欢安装程序自动处理的方式。你也可以选择“其它（Something Else）”来手动控制安装过程。

找到你给Ubuntu保留的空闲分区（安装程序无法读取和显示Windows卷的名称，所以你要小心别选错了），双击它，选择ext4文件系统，和“/”作为默认的安装点。

现在选择另外的那个较小的分区，选择swap分区类型。就这些了。当你点击下一步，安装程序将启动，你将要输入用户名，密码和其他信息。

当你启动你之后，将得到一个简单的列表，可以选择你要启动的操作系统。

尽情享受！

via: http://news.softpedia.com/news/How-to-Install-Windows-8-1-and-Ubuntu-14-04-LTS-on-the-Same-Computer-440356.shtml

译者：CHINAANSHE 校对：wxy

本文由 LCTT 原创翻译，Linux中国 荣誉推出

之前我已经写过关于如何安装Ubuntu Linux和Windows 7以及8的双启动，但是那些教程不包含那些预装Windows 8的系统。那些较新的预装了Windows 8或Windows 8.1的系统使用了UEFI来替代BIOS。这使得安装双启动变得和之前的常规方法有点不同。在这个教程中，我们将看到如何在UEFI模式下安装Ubuntu 14.04与Windows 8/8.1双启动。

这个教程是在一台新买的戴尔灵越 7437（酷睿i7第四代处理器， 256GB SSD，8GB内存以及内置1GB(共享内存) Intel显卡）上演示的。为了使你能够成功安装UEFI下Linux和Windows 8的双启动，我会提到你需要做的所有步骤。如果你已经完成这些步骤中的部分步骤，直接跳到下一步。如果你有个全新的系统，那就更好了。

在这里提到的这些步骤也适用于其它基于Ubuntu的Linux发行版，如Linux Mint，Elementary OS等等。不多说，让我们来看看如何在启用了UEFI安全启动的Windows 8系统上双启动Linux。

让 Ubuntu 14.04 和 Windows 8 双启动：

要在一个UEFI系统上安装Ubuntu有多方面的前提条件。让我们来一个一个看：

第一步：做个备份 [可选]

做个备份总是个不错的选择，防止你把系统弄糟了。网上有众多文章教你如何备份系统。你可以参照这个教程。

第二步：创建一个Ubuntu的USB启动盘/光盘启动盘

你需要做的下一件事是创建一个USB启动盘或光盘启动盘。我推荐在Windows下使用Universal USB Installer创建一个Linux OS的USB启动盘。

第三步：为Ubuntu划分一块安装分区

假设你有一个全新的系统，我们要做的第一件事是创建一个分区来安装Linux。我系统中的256GB磁盘出厂时就有若干个分区，但主要是用来备份及其它目的的。主分区是安装了Windows 8.1的C盘，约有220GB。

如果你也像这样只有一个分区，你需要从中分割出一些空间给Linux。如果你有若干空间大小足够的分区，可以使用它们中除C盘外的任意盘，因为安装时会抹掉其中的数据。

要在Windows 8中创建分区，需要使用磁盘管理工具。你可以通过在控制面板中搜索‘磁盘’找到磁盘管理工具。

在磁盘管理工具中，右键点击你想划分并缩小的卷。在我的演示中，我选择C盘的卷进行缩小，划分出未分配空间：

缩小后出现的未分配空间就放在那里好了，不用对其分区和格式化。我们会在安装Ubuntu时用到它。

第四步：在Windows中禁用快速启动 [可选]

为了实现快速启动，Windows 8引进了叫做“快速启动”的新特性。尽管不是强制要求，最好还是将其禁用。

打开控制面板 > 硬件与声音 > 电源选项 > 选择电源按钮的功能 > 更改当前不可用的设置，取消选中启用快速启动（推荐）。

第五步：禁用Windows 8 and 8.1的安全启动（secure boot）

这是最重要的步骤。Windows 8新的安全启动（secure boot）原本是针对rootkit病毒的安全特性，但它也阻止了Windows和Linux的双启动。为了实现Windows和Linux的双启动，我们必须在UEFI中禁用安全启动（secure boot）。

可以参见：如何在 Win8 上禁用 UEFI 安全引导以安装Linux。

第六步：安装Ubuntu，与Windows 8共存

一旦你禁用了安全启动（secure boot），那就是时候安装Ubuntu了。我希望你像第二步中提到的一样创建了一个USB启动盘。插入U盘，然后从U盘启动系统。

要从USB启动，需要在Windows中选择从USB启动的选项。从电脑设置（像UEFI）中选择选项或在点击“重新启动”的时候按住Shift键。

当你用USB启动盘启动后，你会看到试用（try）或者安装（install）Ubuntu的选择，这里要点击“安装”。另外在屏幕上不多的设置选项里面，你可以选择你用的语言。接下来是关于硬盘空间，电源和网络连接等等的一些检查。只需点击继续。

安装窗口中你需要注意的是安装类型（Installation Type）。选择这里的其它选项（Something else）：

还记得我们事先划分的未分配空间吗？我们将用它来创建根分区（ / ），交换空间（Swap）以及家目录（Home）。选择空闲（free space）然后点击加号（+）。

它会给你提供创建Linux分区的选项。我们正在创建根分区 /。10到20GB空间就足够了。选择大小（Size），然后选择Ext 4作为文件系统以及 /（意思是根）作为挂载点（Mount point）。

点击确定会回到分区界面。下一步我们创建交换空间（Swap）。像之前一样，再次点击加号（+）。这次我们选择作为交换空间（Swap area）。建议的交换空间大小是物理内存的两倍。

以同样的方式创建家目录（Home）。给它分配最大的空间（实际上是给它分配剩余的所有空间），因为这是你会用来存储音乐，图片以及下载的文件的位置。

分配好了根分区（ / ），交换空间（Swap）和家目录（Home）之后，点击现在安装（Install Now）：

好了，你现在基本上以及赢得了这场战役了~露出胜利的微笑吧~接下来你会被要求设置用户名密码等等。基本上你现在只需点击下一步。

一旦安装完成，重新启动电脑，你应该会看到紫色的grub欢迎界面。尽情享受Ubuntu和Windows 8的双启动模式吧。（译注：对于可能出现grub系统选择中没有Windows 8选项或是无法正常启动的情况，可搜索Boot Repair工具的使用）

我希望这份指南能够帮你实现Ubuntu和Windows 8的UEFI模式双启动。虽然这篇文章是为Ubuntu写的，它对其它的Linux OS应该也有所帮助。欢迎提出任何问题与建议。

via: http://itsfoss.com/install-ubuntu-1404-dual-boot-mode-windows-8-81-uefi/

译者：alim0x 校对：wxy

本文由 LCTT 原创翻译，Linux中国 荣誉推出

摘要：当被最新的OpenSSL安全问题困扰时，你最好解决它，虽然它并不像Heartbleed那样糟糕。

这一周对于开源的Secure Socket Layer （SSL）来说真是糟糕的一周。

首先，GnuTLS低调的宣称，存在一个不大但确实存在的缺陷。然后，大范围流行的OpenSSL被发现包含一个中间人漏洞。在Heartbleed漏洞惨剧后，OpenSSL该醒醒了。

这个漏洞，根据谷歌高级软件工程师Adam Langley描述，已经至少存在了15年时间。可惜Core Infrastructure Initiative(CII)提供了让更多的程序员来拯救OpenSSL的资金，却尚未来得及发挥作用。

也就是说这个漏洞依然是和Heartbleed漏洞一样糟糕。对于一些新手，攻击者需要在系统和浏览器或其它启用了SSL的客户端之间来利用这个安全漏洞。

尽管它只是可能被利用，你依然需要尽可能快的通过升级来解决这个漏洞。就像NTT Com Security的评估服务负责人Chris Camejo在邮件采访里说的，“这很糟糕，因为已经存在了这么长的时间，看起来传播范围相当广泛。”

他补充到：“如果利用它，攻击者可以解密流量。从SSL的设计目的看，这是一个很严重的问题。SSL被广泛地用来在网站和邮件中保护很多的密码，信用卡卡号和其他的敏感信息。”

在另外一个采访中，Red Hat的产品安全高级负责人Mark Cox详细深入地介绍了细节)。Cox说，OpenSSL已修正了一些安全缺陷，但是我们需要想办法告诉人们不要因为Heartbleed而陷入恐慌。

Cox解释说，Heartbleed漏洞在公布之前得到了修补，但利用此漏洞的消息在修补程序之前传开，因此在这个问题上招致了许多抱怨。最新的情况，已有七个安全问题得到了修补，但其中只有两项需要管理员和用户的关注。

Cox继续说道，第一个，是数据报传输层安全 (DTLS)的bug。到目前为止，还没有已知的攻击，但是存在针对它攻击成功的潜在性。

因此，虽然DTLS使用不广泛，如果您确实在使用它，它应尽快修补。

Cox然后说，“这个问题的实际上是中间人攻击”。实际上，真的要有个“在中间的”人，来利用易受攻击的服务器和客户端之间的漏洞。

但如果有人真的这样做到了，他们就能“绕过SSL并拿到原始数据...这是一个相当严重的问题”。

但是，如同从理论上讲任何人都可以利用Heartbleed漏洞来攻击SSL服务器。攻击并利用此漏洞需要能接触到客户端和服务器之间的通信网络。例如，成功的攻击可能需要架设一个假的公开Wi-Fi接入点，才能攻击到使用这个WIFI的Android版本的Chrome网络浏览器与未安装修补程序的Web服务器之间的SSL通讯。幸运的是，谷歌已经发布了更新的版本的浏览器，35.0.1916.141，以消除此问题。

Cox继续说，最易受攻击的系统是未安装修补程序的Android设备使用一个假的Wi-Fi接入点。Morrell补充说因为Android用户并没有被他们的手机供应商和电信公司重视，安全漏洞更新前他们可能会受漏洞影响相当长的时间。

幸运的是，如果他们用连接的服务器已经更新，他们也不会受到攻击。

OpenSSL安全社区自5月初以来已经知道这个问题。社区与Red Hat、其他主要Linux和开源社团和硬件供应商，要解决这个问题，不只是简单修补bug，而且要测试修复，以便他们可以确认漏洞已经修复，大家都已经安全了，而没有引入任何新的安全问题，并可在大多数 OpenSSL服务器和客户端的组合上工作。

现在，这个补丁已经有了，OpenSSL试着通过补丁解决安全缺陷，向公众表明对这些问题不必有任何不必要的恐慌。Cox补充说，主要的Linux供应商，如Red Hat和Ubuntu，已经有可用的修补程序。

所有的管理员都需要给服务器下载并安装补丁，而不是放任安全漏洞。

via: http://www.zdnet.com/new-openssl-breech-is-no-heartbleed-but-needs-to-be-taken-seriously-7000030273/

译者：lolipop 校对：wxy

本文由 LCTT 原创翻译，Linux中国 荣誉推出