网站和服务器管理员将不得不花费大量的时间、精力和金钱来降低所有与之相关的安全风险Heartbleed，是近年来威胁SSL加密通信的最严重漏洞之一。
 |
|
 |
“心脏出血”不会改变任何事情的两个原因 |
|
Heartbleed (CVE-2014-0160):概述问题和修复它所需的资源 |
|
以下是带有heartbleed缺陷的网络设备的选择(提示:并不是很多) |
|
关于Heartbleed和OpenSSL，你需要知道些什么 |
|
心脏出血——接下来会发生什么? |
|
服务器制造商急于推出“心脏出血”补丁 |
|
|
|
缺点是周一公开披露，并不是广泛使用的TLS(传输层安全)或SSL(安全套接字层)通信协议的加密缺陷的结果，而是源自一个名为OpenSSL的流行SSL/TLS库中相当普通的编程错误，各种操作系统、Web服务器软件、浏览器、移动应用程序，甚至硬件设备和嵌入式系统。
攻击者可以利用该漏洞迫使使用OpenSSL版本1.0.1到1.0.1f的服务器从其私有内存空间公开信息。这些信息可以包括密码、TLS会话密钥和长期服务器私有密钥等机密数据，这些密钥允许解密过去和未来从服务器捕获的SSL通信。
乍一看，处理这个问题似乎很容易:将OpenSSL更新到大多数操作系统都可以使用的补丁版本，这就完成了。然而，考虑到在某个特定服务器打补丁时，该漏洞可能已被攻击者利用，而且其秘密TLS密钥可能已被泄露，事情突然变得更加复杂。
网站所有者应该做的第一件事是确定谁负责在托管其网站的服务器上维护OpenSSL软件。
网络安全公司Sucuri的研究人员在一份报告中说:“如果是专用服务器，那是你的责任。博客．“如果你使用的是共享主机平台，请联系主机供应商，提醒他们更新服务器。”
一旦安装OpenSSL修补在服务器和攻击是不可能了,是时候来获得一个新的SSL证书和撤销旧确保任何攻击者可能获得私钥信息虽然缺陷不会允许他们解密交通在未来。
巴尔的摩约翰霍普金斯大学信息安全研究所(Johns Hopkins University Information Security Institute)密码学家、助理研究教授马修·格林(Matthew Green)在电子邮件中说:“我们建议服务器运营商撤销并重新发放他们的证书，因为密钥可能已经被盗。”“问题是，这需要时间和金钱。如果许多服务器运营商跳过这一步，我不会感到惊讶。”
网站所有者应该向颁发现有SSL证书的证书颁发机构(CAs)检查重新密匙化和重新颁发这些证书所涉及的任何潜在成本。
“Trustwave SSL服务平台一直包括在证书有效期内免费重新颁发证书;大型认证机构Trustwave管理身份和SSL的副总裁Brian Trzupek通过电子邮件表示。“在这个OpenSSL存在心脏出血漏洞的特殊实例中，我们已经有大量客户在我们的SSL门户中使用免费的自助服务重新发行功能，以帮助修复他们的SSL证书的心脏出血问题。”
赛门铁克(Symantec)运营着自2010年收购威瑞信(VeriSign)的SSL业务以来最大的ca之一。该公司表示，已采取必要措施，对使用受影响的OpenSSL版本的系统进行补丁。该公司在电子邮件中表示:“我们正在遵循最佳做法，对使用受影响的OpenSSL版本的网络服务器上的所有证书重新设置密钥。”“虽然赛门铁克证书从来没有问题，但为了解决OpenSSL漏洞，我们将为现有客户免费提供替换，旧证书将被吊销。”
对于网站和服务器管理员来说，处理这个OpenSSL漏洞可能也是一个很好的机会，可以检查他们的SSL/TLS配置，并确保它们符合现代标准。
防病毒公司F-Secure的研究人员在一份报告中说:“由于你必须接触你的服务器配置并创建新的SSL证书，我们建议你也通过证书生成设置和服务器配置。博客．“心出血不是SSL/TLS实现中唯一的问题，选择不当的协议或弱密码可能和心出血漏洞一样危险。”
开放Web应用安全项目(OWASP)传输层保护小抄和SSL/TLS部署最佳实践可以作为一个很好的起点。
现在可能也是考虑配置带有完全前向保密(PFS)的TLS的好时机，PFS是DiffieHellman密钥协议(DHE和ECDHE)的一个属性，已经在一些大型网站上使用，包括谷歌。即使服务器的私钥被泄露，而且“心脏出血”没有影响为PFS配置了TLS的服务器，PFS也使先前捕获的TLS流量无法解密。
“针对TLS漏洞的最强有力的保护之一是完全向前保密(Perfect Forward Secrecy)，”倡导组织电子前沿基金会(Electronic Frontier Foundation)的系统管理员戴维·格兰特(David Grant)在一份报告中说博客．这并不容易配置，而且还不支持全局浏览器。然而，这种加密技术提供了最好的防御，防止可能窃取你的私钥并使用它来解密你的通信。”
Ivan Ristic是Qualys公司SSL实验室的负责人，他提供了如何配置Apache, Nginx和OpenSSL的前向保密博客8月。
电子前沿基金会(Electronic Frontier Foundation)技术人员朱燕(Yan Zhu)最近在一份报告中表示:“目前，提前保密比以往任何时候都更为关键。博客在书中，他提出了在Web上更广泛采用PFS的理由。“现在Heartbleed的细节已经公开，任何人都可以用它来对付那些还没有修补OpenSSL漏洞和更改SSL证书的服务器。开发人员部署新的SSL证书很容易需要数周或数月的时间，即使如此，证书撤销系统也不可靠，不适合现代web。同时，你现在发送到受影响的服务器上的任何不支持转发保密的数据，一旦它们的SSL私钥暴露，就会被窃听和恶意篡改。”
由于“心脏出血”漏洞也可以被用来从服务器的内存中窃取密码，网站管理员应该评估和考虑应该修改哪些类别的密码，作为预防措施。在某些情况下，强制或至少建议所有用户更改密码可能是明智的。
除了重置密码，还应该使所有跨站请求伪造(CSRF)和OAUTH令牌以及会话cookie失效。如果从服务器内存或解密流量中窃取，这些令牌可能被用来获得对受影响网站上用户帐户的未经授权访问。
最后，对管理员来说，在评估此漏洞的影响时，查看整个Web基础设施而不仅仅是单个Web服务器也是很重要的。
例如,即使一个Web服务器运行IIS(互联网信息服务)在Windows和不受这一缺陷,因为IIS不影响使用OpenSSL,可能有一个使用OpenSSL Nginx服务器运行作为加密流量的负载均衡器或反向代理在IIS服务器前面,特洛伊亨特说,一个软件架构师和微软的MVP博客．