由於美國和英國間諜對當今加密系統關鍵技術的掣肘，人們的擔憂與日俱增，但是OpenSSL的使用者在這件事上可以鬆口氣了。
據透露，被大量軟體使用的加密工具包，從基於HTTPS的web瀏覽器到基於SSH的安全終端，並沒有使用臭名昭著的隨機數字生成演算法Dual EC DRBG。
而這卻是由於一個現已被確定無法修復的bug。
在函式庫中的一處程式碼缺陷阻止“使用”橢圓雙曲線(Dual EC)偽隨機位生成演算法(DRBG)的，而支援這一不安全的加密演算法的不是別人，正是NSA。
我們得知，OpenSSL使用的其它DRBG演算法沒有受影響。
“從這個bug的性質可以知道，沒有人使用過OpenSSL的Dual EC DRBG演算法。”OpenSSL軟體基金會的Steve侯爵在昨天寫給約翰普金斯大學資訊保安研究所的Stephen Checkoway和Matt Green的郵件中記入了這一發現。
這個在fips_drbg_ec.c檔案中的bug可以通過一行程式碼的變化，讓Dual EC DRBG的狀態更新，從而使它的輸出過期。這是一個罕見的軟體缺陷產生正面效果的例項。
密碼學家們對Dual EC DRBG演算法的信任已有6年的歷史了。而該技術在今年初被美國政府技術標準組織NIST否定[PDF]，同時EMC的安全部門RSA也告誡公眾不要採用該演算法。
電腦科學家們現在都已經相信該演算法在開發過程中就被故意設計成有缺陷，進而有效的建立了一個後門[PDF]，這樣使用該演算法的加密系統可以被輕易的破解。這種加密系統依靠密碼安全隨機數生成器使得他們非常難以預測。
考慮到Dual EC DRBG演算法“無論出於何種目的都是非常有害的”，我們得知，目前沒有任何修復該bug的計劃，這樣做只會帶來更多的麻煩。最好的也是最直接的解決方案是拋棄這門到現在都被美國政府支援的技術。
“FIPS 140-2標準驗證模組不可更改，除非付出很大的代價。而我們最近已經啟動了一項計劃，從正式的驗證模組中徹底的刪除Dual EC DRBG的程式碼。”Steve侯爵補充道。