维基百科

心脏出血漏洞

出現在OpenSSL的程式錯誤

心脏出血漏洞（英语：Heartbleed bug），简称为心血漏洞，是一个出现在加密程序库OpenSSL的安全漏洞，该程序库广泛用于实现互联网的传输层安全（TLS）协议。它于2012年被引入OpenSSL，2014年4月首次向公众披露。使用存在缺陷的OpenSSL实例时，无论是伺服器还是客户端，都可能因此而受到攻击。此问题的原因是在实现TLS的心跳扩展时没有对输入进行适当验证（缺少边界检查）[3]，因此漏洞的名称来源于“心跳”（heartbeat）[4]。该程序错误属于缓冲区过读[5]，即可以读取的数据比应该允许读取的还多[6]。

心脏出血漏洞
心脏出血漏洞的标志。安全公司Codenomicon为其制定了名称，设计了标志，加深了公众对此问题的印象。[1][2]
CVE标识符CVE-2014-0160
发布日期2012年2月1日，​12年前​（2012-02-01）
发现日期2014年4月1日，​10年前​（2014-04-01）
补丁发布日期2014年4月7日，​10年前​（2014-04-07）
发现者尼尔·梅塔
受影响软件OpenSSL (1.0.1)
网站heartbleed.com

心脏出血在通用漏洞披露（CVE）系统中的编号为CVE-2014-0160[5]。加拿大网络事故响应中心（英语：Canadian Cyber Incident Response Centre）发布安全公告，提醒系统管理员注意漏洞[7]。2014年4月7日，即漏洞公开披露的同一天，OpenSSL发布了修复后的版本。

截至2014年5月20日 (2014-05-20)，在80万最热门的启用TLS的网站中，仍有1.5％易受心脏出血漏洞的攻击。[8]

因为缺陷在于OpenSSL的实现，而不是SSL/TLS协议本身，所以除了OpenSSL之外的其他TLS实现方式，如GnuTLS、Mozilla的网络安全服务（NSS）和Windows平台的TLS实现都不受影响[9]。

历史

编辑

2012年2月，传输层安全（TLS）和数据报传输层安全（DTLS）协议的心跳扩展成为了标准，是为RFC 6520[10]。它提供了一种无需每次都重新协商连接，就能测试和保持安全通信链路的方式。2011年，RFC的作者之一，当时杜伊斯堡-埃森大学的博士生罗宾·赛格尔曼（Robin Seggelmann）为OpenSSL实现了心跳扩展。赛格尔曼向OpenSSL发出的推送请求之后[11][12][13]，他的更改由OpenSSL四位核心开发者之一的斯蒂芬·N．汉森（Stephen N. Henson）审核。汉森未能注意到赛格尔曼实现中的错误，于2011年12月31日将有缺陷的代码加入了OpenSSL的原始码库。2012年3月14日，OpenSSL 1.0.1版发布，漏洞开始传播。心跳支持默认是启用的，这使受影响的版本易受攻击[14][15][16]。

发现

编辑

根据OpenSSL的马克·J．考克斯（Mark J. Cox）的说法，谷歌安全团队的尼尔·梅塔（Neel Mehta）于2014年4月1日11:09 UTC报告了心脏出血漏洞[17]。

该漏洞由芬兰网络安全公司Codenomicon的工程师命名，该公司也设计了心脏出血标志，并设立了网站heartbleed.com向公众解释该错误[18]。虽然谷歌的安全团队首先向OpenSSL发送了报告，但谷歌和Codenomicon几乎在同一时间分别独立地发现了这个漏洞[19][14][20]。Codenomicon称它于2014年4月3日发现并通知了NCSC-FI以进行漏洞协调[14][21]。

据信在漏洞披露时，约有17%（大约五十万）通过认证机构认证的互联网安全网络伺服器容易受到攻击，导致伺服器私钥和用户会话cookie及密码被盗[22][23][24][25][26]。电子前哨基金会[27]、Ars Technica[28]和布鲁斯·施奈尔[29]均认为心脏出血漏洞是“灾难性的”。福布斯网络安全专栏作家约瑟夫·斯坦伯格（英语：Joseph Steinberg）写道：

有些人认为，至少就其潜在影响而言，“心脏出血”是自互联网商用以来所发现的最严重的漏洞。[30]

英国内阁发言人建议：

人们应该按照网站建议更改他们所访问网站的密码。 大多数网站已经修复了漏洞，人们听从网站建议，从而决定是否采取行动以及采取什么行动，再合适不过了。[31]

漏洞披露当日，Tor项目在其部落格发布公告，建议

如果您在互联网上需要高度的匿名或隐私，在接下来的几天里应该完全远离互联网，直到问题解决。[32]

悉尼晨锋报于2014年4月15日刊登了事件的时间轴，其中可见一些组织在其公开披露之前就已经修补了漏洞，其中有些组织不清楚他们是如何得知这一消息的[33]。

错误修正及部署

编辑

博德·默勒（Bodo Moeller）和谷歌的亚当·兰利（Adam Langley）完成了心脏出血漏洞的修补程序。由此产生的补丁于2014年3月21日加入到了Red Hat的问题跟踪系统中[34]。4月7日，斯蒂芬·N．汉森在OpenSSL版本控制系统中应用了修补程序[35]。第一个修复后的版本1.0.1g于同一天发布。截至2014年6月21日 (2014-06-21)，309,197台公共网络伺服器仍存在漏洞[36]。

证书的更新及撤销

编辑

根据Netcraft（英语：Netcraft）的说法，截至2014年4月11日 (2014-04-11)，在超过50万张可能已因心脏出血漏洞而失密的X.509证书中，约3万张已经补发，撤销的并不多。[37]

截至2014年5月9日 (2014-05-09)，仅有43％的受影响网站重发了自己的安全证书。此外，在重发的安全证书中，有7％使用了可能已泄露的密钥。Netcraft称：

若重复使用密钥，较之尚未更换SSL证书的网站，这些曾受心脏出血漏洞影响的网站面临的风险仍与之前一模一样。[38]

每周电脑报对此评论，心脏出血漏洞是“可能持续数月，甚至是数年的危险”[39]。

利用

编辑

加拿大税务局（CRA）称，900纳税人的社会保险号码（英语：Social insurance number）遭窃，并表示在2014年4月8日的6个小时内，有人利用了该漏洞得到了这些数据[40]。在发现攻击后，该机构关闭了网站，并将纳税人的申报期限从4月30日延长至了5月5日[41]。该机构表示，将向任何受影响的人提供信誉保障服务，不收取任何费用。4月16日，皇家加拿大骑警宣布，他们已掌握了一名与该盗窃有关的工程学学生资讯，并指控其“未经授权使用电脑”及“有关数据的恶作剧”[42][43]。

英国育儿网站Mumsnet（英语：Mumsnet）发现部分用户帐户被劫持，CEO被假冒[44]。该网站后发表事件声明，称其是由心脏出血漏洞所导致，且技术人员已将其及时修复[45]。

反恶意软件研究人员还利用了该漏洞，访问了网络罪犯的秘密论坛[46]。研究人员还特意设立了存在漏洞的机器以进行研究。例如，在2014年4月12日，至少有两位独立研究人员成功窃取了CloudFlare为此而设立的实验伺服器的私钥[47][48]。此外，在2014年4月15日，密歇根大学教授J·亚历克斯·黑尔德曼（英语：J. Alex Halderman）称，他的蜜罐伺服器（旨在吸引并研究攻击的刻意留有漏洞的伺服器）遭到了无数来自中国的攻击。黑尔德曼得出结论，因为这个伺服器相当不起眼，这些很可能是大范围影响互联网的横扫攻击[49]。

2014年8月报道称，骇客利用心脏出血漏洞，窃取了美国第二大营利性连锁医院机构社群卫生系统（英语：Community Health Systems）的安全密钥，导致450万份病人病历泄密。入侵发生在该漏洞首次公布后一星期[50]。

事先可能的了解及利用

编辑

在公布后数日，许多大型网站修补了漏洞，或禁用了心跳扩展[51]，但不清楚是否潜在攻击者早就意识到了这一点，及利用程度几何。

研究人员在检查审核日志后认为，至少在发现和公布的5个月前，一些攻击者可能已经利用了这个漏洞[52][53]。不过Errata Security指出，于漏洞公开的六个月前发布并广泛使用的非恶意程序“Masscan”，会像漏洞所表现的那样，于握手时突然终止连接，从而生成相同的伺服器日志消息。该公司还表示：“两样会产生相同错误消息的新东西看起来可能是有关连的，但当然，其实他们并不相关。”[54]

据彭博新闻社，二位不愿透露姓名的内部人士称，美国国家安全局（NSA）在漏洞出现后不久就知道了它的存在，但却没有公布，而是将其作为零日漏洞予以保密，以便能为己所用[55][56][57]。NSA否认了这一说法[58]，美国国家情报和通信技术审议小组（英语：Director of National Intelligence Review Group on Intelligence and Communications Technologies）的理查德·A·克拉克（英语：Richard A. Clarke）也予以否认，该小组负责审查美国的电子监控政策。2014年4月11日，克拉克向路透社表示，NSA之前并不知道该漏洞[59]。有关指控促使美国政府首次就其零日漏洞政策发表公开声明，接受审查小组2013年的报告中所提的建议，“在几乎所有的情况，消除广泛使用的软件代码中的漏洞比起利用它们进行情报搜集更符合美国的国家利益”，并称保密漏洞的权力将由NSA转移到白宫[60]。

表现

编辑
 
漏洞的解释

RFC 6520心跳扩展定义了一种测试TLS/DTLS安全通信链路的方法，允许连接一端的电脑发送“心跳请求”消息，消息包含有效载荷（通常是文本字符串），附带有效载荷的长度（用16位整数表示）。随后，接收方电脑必须发送完全相同的有效载荷以返回给发送方。

受影响的OpenSSL版本根据请求消息中的长度字段分配内存缓冲区，用于存储要返回的消息，而不考虑消息中有效载荷的实际长度。因为缺少边界检查，返回的消息不仅包括有效载荷，还可能含有其他恰巧在已分配缓冲区中的消息。

因此，通过构造出载荷短、长度字段中的数值却很大的请求，向存在缺陷的一方（通常是伺服器）发送畸形心跳包，利用心脏出血漏洞，引起受害者的回应，这样，攻击者便可读取到受害者内存中至多64千字节的资讯，而这块区域先前OpenSSL有可能已经使用过[61]。例如，正常的心跳请求可能会要求一方“返回4个字符的单词‘bird’”，那一方就返回“bird”；“心脏出血请求”（恶意的心跳请求）如“返回500个字符的单词‘bird’”会导致受害者返回“bird”，紧接着是恰储存在受害者活跃内存中的496个字符。这样，攻击者便可能会收到敏感数据，从而危及受害者其它安全通信的保密性。虽然攻击者能对返回的内存块大小有所控制，但却无法决定它的位置，因而不能指定要显示内容。

受影响的OpenSSL实例

编辑

受影响的OpenSSL版本为1.0.1至1.0.1f（含）。较新版本（1.0.1g[62]以上）及先前版本（1.0.0分支以前）不受影响[63]。受影响的版本实例均存在缺陷，除非在OpenSSL编译时加上-DOPENSSL_NO_HEARTBEATS[64][65]。

存在缺陷的程序和函数

编辑

存在缺陷的程序的源文件为t1_lib.c及d1_both.c，而存在缺陷的函数为tls1_process_heartbeat()及dtls1_process_heartbeat()。[66][67]

补丁

编辑

可通过忽略要求了比负载更多的数据的心跳请求消息来修复此问题。

OpenSSL版本1.0.1g增加了一些边界检查，以防止过度读取缓冲区。例如，已添加了下列测试，以丢弃将引发心脏出血漏洞的心跳请求，以防产生回复： 

if (1 + 2 + payload + 16 > s->s3->rrec.length) return 0; /* silently discard per RFC 6520 sec. 4 */

版本控制系统有完整的更改列表。[35]

影响

编辑

经由心脏出血漏洞发动攻击，获得的数据可能包括TLS双方将要交换、但尚未加密的机密内容，包括在用户请求中各种格式的post数据。此外，泄漏的数据还可能含有身份验证密令，如会话cookie及密码，可使攻击者向该服务冒充此用户。[68]

攻击还可能泄漏受攻击双方的私钥[14][16][69]，这将使攻击者能解密通信内容（将来或是之前通过被动窃听捕获而存储的通信，除非使用完全正向保密，而在这种情况下，只能解密将来通过中间人攻击截获的通信）。

即使漏洞修复之后，获得受害者认证资料的攻击者仍能伪装成资料的拥有者，只要该资料能被接受（例如，在更改密码或撤销私钥之前）。因此，漏洞对保密性构成了致命威胁。然而，冒充受害人的攻击者也能修改数据，所以间接的后果可能不只是系统机密泄漏那么简单。[70]

一项于2014年4月对美国成人进行的调查显示，60%的人听说过心脏出血漏洞。使用互联网的受访者中有39%的人采取了行动以保护他们的在线账户，如更改密码或注销账户；29%的人认为他们的个人资讯因漏洞而处于危险之中；6%的人认为他们的个人资讯已遭窃取。[71]

客户端漏洞

编辑

虽然该漏洞更多因其对伺服器的威胁而受关注[72]，使用受影响OpenSSL实例的TLS客户端也易受攻击。恶意伺服器能利用该漏洞从易受攻击的客户端的内存中读取数据，这就是卫报所称的“逆向心脏出血漏洞”[73]。安全研究员史蒂夫·吉布森（Steve Gibson）在谈及该漏洞时称，

它不只是伺服器端的漏洞，它也是客户端的漏洞，因为伺服器、或你连接的任何人，都能向你请求心跳包，正如你能向他们请求一样。[74]

失窃数据可能包含用户名和密码[75]。逆向心脏出血漏洞影响了数以百万计的应用实例[73]。部分易受攻击的应用程式列于下面的“应用软件”一节中。

具体受影响的系统

编辑

思科系统已确认其下78种产品存在缺陷，包括IP电话系统和网真（视频会议）系统。[76]

网站及其它在线服务

编辑
 
泄露的IFTTT用户资讯

2014年4月8日，GitHub上有一项对访问量最大的网站的分析，发现受影响的网站包括雅虎、Imgur、Stack Overflow、Slate及DuckDuckGo[77][78]。下列网站已发布公告，因受漏洞影响，建议用户更改密码：

加拿大联邦政府出于漏洞的安全考虑，暂时关闭了加拿大税务局（CRA）及多个政府部门的在线服务[103][104]。

平台维护者（如维基媒体基金会）建议他们的用户更改密码[100]。

LastPass的伺服器存在缺陷[105]，但因额外的加密及正向安全，潜在的攻击者无法利用此漏洞。不过LastPass仍建议用户修改所有受影响网站账户的密码[106]。

Tor项目建议中继和隐蔽服务的运行者在修补OpenSSL后，应撤销并生成新密钥，但同时指出，两套Tor中继密钥及多跳设计最大限度地减少了单一中继遭窃取所造成的影响[32]。作为预防措施，随后发现存在漏洞的586个中继被强制下线[107][108][109][110]。

包括Steam、我的世界、战游网、英雄联盟、GOG.com、Origin、索尼在线娱乐、Humble Bundle及流亡黯道在内的游戏受到影响，随后得到修复[111]。

应用软件

编辑

存在缺陷的应用软件包括：

其他几个甲骨文公司的应用程式受到影响。[118]

操作系统/固件

编辑

若干GNU/Linux发行版都受到了影响，包括Debian[121]（及其派生版，如Linux Mint和Ubuntu[122]）和Red Hat Enterprise Linux[123]（及其派生版，如CentOS[124]、Oracle Linux 6[118]和Amazon Linux（英语：Amazon Linux）[125]），还有下列操作系统及固件：

漏洞检测服务

编辑

一些网站推出了测试，检测给定的网站上是否存在心脏出血漏洞。然而，据称许多这种测试都不是很有效[137]。可用的工具包括：

  • Tripwire SecureScan[138]
  • AppCheck——静态二进制文件扫描，来自Codenomicon[139]
  • Arbor Network的Pravail Security Analytics[140]
  • Norton Safeweb心脏出血测试工具[141]
  • 欧洲IT安全公司的心脏出血测试工具[142]
  • 心脏出血扫描器，来自意大利资讯安全专家菲利普·瓦尔索达（Filippo Valsorda）[143]
  • Cyberoam（英语：Cyberoam）的心脏出血测试[144]
  • Critical Watch免费在线心脏出血测试器[145]
  • Metasploit心脏出血扫描模块[146]
  • Rehmann的心脏出血伺服器扫描[147]
  • Lookout手机安全公司（英语：Lookout Mobile Security）心脏出血探测器，一个用于安卓装置的应用程式，可确定装置使用的OpenSSL版本，并指出是否启用了有缺陷的心跳特性[148]
  • LastPass的心脏出血检查器[149]
  • Pentest-Tools.com的在线心脏出血漏洞网络范围扫描器[150]
  • 以Python语言写成的红帽公司官方离线扫描器[151]
  • Qualys（英语：Qualys） SSL实验室的SSL伺服器测试[152]，不仅能查找心脏出血漏洞，还能找到其他SSL/TLS实现中的错误。
  • 浏览器扩展，如Chromebleed[153]和FoxBleed[154]
  • SSL Diagnos[155]
  • CrowdStrike心脏出血扫描器[156] - 扫描路由器、打印机及其他连接到网络的装置，包括Intranet网站。[157]
  • Netcraft（英语：Netcraft）网站报告[158] - 基于Netcraft的SSL调查数据，确定网站在漏洞公开之前是否提供了TLS心跳扩展，以此指出网站的保密性是否受到危害。Netcraft的Chrome、Firefox和Opera[159]也能进行同样的检查，同时寻找可能已失密的证书[160]。

其他安全工具添加了相应功能，以查找此漏洞。例如，Tenable Network Security（英语：Tenable Network Security）为其Nessus漏洞扫描器写了插件，以扫描出此问题[161]。Nmap安全扫描器自6.45版本起包含了心脏出血检测脚本[162]。

Sourcefire（英语：Sourcefire）已经发布了Snort规则，以检测心脏出血攻击流量和可能的心脏出血响应流量[163]。开源数据包分析软件，如Wireshark及tcpdump，使用特定的BPF数据包过滤器，将其作用于捕获并存储的数据包和实时流量上，可以识别出心脏出血包[164]。

补救

编辑

通过将OpenSSL更新到已修补的版本（1.0.1g或更高版本），可以解决心脏出血漏洞。OpenSSL可以用作独立程序、动态共享对象或静态链接库，因此，更新可能需要重新启动加载了OpenSSL易受攻击版本的进程，及重新链接静态链接它的程序和库。实际上，这意味着更新静态链接OpenSSL的软件包，并重新启动正在运行的程序，以删除内存中旧的、易受攻击的OpenSSL代码副本。

在漏洞修复后，伺服器管理员必须解决保密数据可能泄漏的问题。因为心脏出血允许攻击者得到私钥，所以必须认为这些密钥已泄密。须重新生成密钥对，使用它们的证书也要重新签发，并且吊销旧证书。心脏出血也有可能会泄漏其他在内存中的保密数据，因此，其他认证材料（如密码）也应该重新生成。很难确定受影响的系统是否没有受到损害，或者某个特定资讯是否已被泄露。[165]

浏览器安全证书吊销感知

编辑

由于漏洞威胁着私钥的安全，即使是在漏洞已修复、先前的证书已吊销后，如果受攻击网站的用户所使用的浏览器无法发现证书已吊销，漏洞仍会对他们有影响。安全证书吊销感知测试虽不测试系统是否存在心脏出血漏洞，但让用户测试他们的网页浏览器，在网站使用的证书已吊销的情况下，是否允许继续访问[166]。因此，修复此漏洞，用户还需要更新浏览器，确保具有最新的证书吊销列表（或OCSP支持）及证书吊销功能。

根本原因、可能的教训及回应

编辑

漏洞造成的损失难以评估，不过据eWEEK（英语：eWeek）估计至少为5亿美元[167]。

戴维·A·惠勒（英语：David A. Wheeler）在论文《如何防止下一个心脏出血漏洞》中分析了为什么没能更早发现漏洞，并且提出了几种可能能更快识别漏洞，以及减小其影响的方法。据惠勒所言，要防止心脏出血漏洞，最有效的方法是用一套非典型的测试包彻底执行他所说的“负面测试”，即测试无效的输入是否会导致程序失败，而非成功。惠勒强调，应有一套通用的测试包以作为所有TLS实现的基础[168]。

据The Conversation上罗伯特·默克尔（Robert Merkel）的文章，心脏出血漏洞揭示了“风险分析上的巨大失败”。默克尔认为，OpenSSL注重性能，而不是安全，在他看来这毫无意义。但他认为，与其指责OpenSSL还不如指责它的用户，他们选择使用OpenSSL却并未提供资金以进行更好的审查和测试。他解释道，有两方面因素决定了将来还有出现类似安全漏洞的风险。首先，程序库的原始码会影响写出有类似影响漏洞的可能。默克尔提到，使用C语言就是一个有利于此种漏洞出现的危险因素，这与惠勒的分析一致。其次，OpenSSL的贡献流程会影响能快速修复错误的机率[168][169]。

塔林理工大学的简思·格特鲁（Jens Getreu）在他的文章中提到，如果OpenSSL使用保证内存安全的Rust语言开发，那么心脏出血漏洞本来是可以避免的[170]。百度则使用Rust语言实现了MesaLink TLS项目；MesaLink提供和OpenSSL兼容的API，从而可以在cURL等项目中替换OpenSSL[171]。

西奥·德·若特，OpenBSD和OpenSSH项目的创始人和领导者，就同一方面批评OpenSSL的开发人员编写自己的内存管理程序，如他所说的那样，这就绕过了OpenBSD C标准函数库对漏洞的防范，他说“OpenSSL是由一个不负责任的团队开发的。”[172][173]继心脏出血漏洞披露之后，OpenBSD项目的成员从OpenSSL复刻出了LibreSSL[174]。

修改程序而导致该漏洞的程序员罗宾·赛格尔曼[175]声称自己“忽略掉了对长度变量的验证”，并否认提交有缺陷的实现是刻意为之[11]。在漏洞公开后，赛格尔曼就另一方面提出了建议，指出OpenSSL没有经过足够多的人的审查。[176]虽然他的工作经过了OpenSSL核心开发人员的审查，审查的目的却主要是验证功能的改进是否正确，这会使漏洞更容易放过[168]。

OpenSSL核心开发者本·劳里（英语：Ben Laurie）称，OpenSSL的安全审查本可以发现心脏出血漏洞[177]。软件工程师约翰·沃尔什（John Walsh）评论道：

想想看，OpenSSL仅有两名（全职）雇员，却要编写、维护、测试、审查50万行的关键业务代码。[178]

OpenSSL基金会主席史蒂夫·马奎斯（Steve Marquess）说：“奇怪之处不在于几名超负荷工作的志愿者漏过了这个错误；真正神奇的是这种事之前都没有发生。”[179]戴维·A．惠勒认为通常情况下，审查是一种发现漏洞的很好方式，但他指出，“OpenSSL使用了过于复杂的结构，使它更难为人类和机器所审查。”他写道：

在简化代码上应不断努力，否则若只是添加功能，软件的复杂度就会逐渐增加。随着时间的推移，代码应及时重构，使之简洁明了，而不只是不断地添加新功能。要达成的目标应该是让代码“显然正确”，而不是使代码变得太复杂，以至于“我看不出有什么问题”。[168]

LibreSSL进行了大规模的代码清理，仅在第一周内就移除了超过90000行C代码。[180]

据安全研究人员丹·卡明斯基（英语：Dan Kaminsky）说，心脏出血漏洞是该基金会经济问题的征兆，这需要解决。从发现这个在“关键”依赖包中一个简单功能的简单错误所花费的时间来看，卡明斯基担心如不采取任何措施，未来还会有无数这样的漏洞。在发现漏洞时，OpenSSL仅有少数志愿者负责维护，其中只有一人将其作为全职工作[181]。每年OpenSSL项目收到的捐款大约为2000美元[182]。Codenomicon的心脏出血漏洞网站呼吁为OpenSSL项目捐款[14]。在了解到漏洞披露后的两三天内，捐款总额为841美元后，卡明斯基说：“我们正在制造全球经济中最重要的技术，依靠的却是投入资金少得让人惊讶的基础设施。”[183]核心开发者本·劳里则认为项目资金“完全没有着落”[182]。尽管OpenSSL软件基金会没有错误赏金计划（英语：bug bounty program），但互联网错误赏金计划主动给发现心脏出血漏洞的尼尔·梅塔奖励了15000美元，以表彰她将其披露的负责任行为[182]。

保罗·基乌萨诺（Paul Chiusano）认为是软件经济学的失败导致了此漏洞。[184]

面对此次危机，行业集体反应，2014年4月24日Linux基金会宣布成立核心基础架构联盟（英语：Core Infrastructure Initiative），这是一个数百万美元的项目，能为处在全球资讯基础架构中的关键要素提供资金[185]。出资人包括亚马逊、戴尔、Facebook、富士通、谷歌、IBM、英特尔、微软、NetApp、Rackspace、VMware和Linux基金会。该联盟旨在让开发人员能全职在项目上工作，并且支付安全审计、硬件和软件基础设施，旅行及其他费用[186]。OpenSSL是该联盟资金首位获得者的候选人[185]。

此漏洞后，谷歌成立了Project Zero寻找零日漏洞，来帮助保护网络和社会。[187]

参考

编辑
  1. ^ McKenzie, Patrick. What Heartbleed Can Teach The OSS Community About Marketing. Kalzumeus. 2014-04-09 [2018-02-08]. （原始内容存档于2017-12-20）. 
  2. ^ Biggs, John. Heartbleed, The First Security Bug With A Cool Logo. TechCrunch. 2014-04-09 [2018-02-08]. （原始内容存档于2018-02-11） （英语）. 
  3. ^ Security Advisory – OpenSSL Heartbleed Vulnerability. Cyberoam. 2014-04-11 [2018-02-08]. （原始内容存档于2018-02-08）. 
  4. ^ Limer, Eric. How Heartbleed Works: The Code Behind the Internet's Security Nightmare. 2014-04-09 [2014-11-24]. （原始内容存档于2014-11-11）. 
  5. ^ 5.0 5.1 CVE-2014-0160. Common Vulnerabilities and Exposures. Mitre. [2018-02-08]. （原始内容存档于2018-01-24） （英语）. 
  6. ^ CWE-126: Buffer Over-read (3.0). Common Vulnerabilities and Exposures. Mitre. 2018-01-18 [2018-02-08]. （原始内容存档于2018-02-08） （英语）. 
  7. ^ AL14-005: OpenSSL Heartbleed Vulnerability. Cyber Security Bulletins. Public Safety Canada. 2014-04-11 [2018-02-08]. （原始内容存档于2018-02-08） （英语）. 
  8. ^ Leyden, John. AVG on Heartbleed: It's dangerous to go alone. Take this (an AVG tool). The Register. 2014-05-20 [2018-02-08]. （原始内容存档于2018-01-23） （英语）. 
  9. ^ Pretorius, Tracey. Microsoft Services unaffected by OpenSSL "Heartbleed" vulnerability. Microsoft. 2014-04-10 [2018-02-08]. （原始内容存档于2018-02-08） （美国英语）. 
  10. ^ Seggelmann, Robin; Tuexen, Michael; Williams, Michael. Transport Layer Security (TLS) and Datagram Transport Layer Security (DTLS) Heartbeat Extension. IETF. 2012-02 [2018-02-08].
    doi:10.17487/RFC6520
    . RFC 6520.
    ISSN 2070-1721
    .     
  11. ^ 11.0 11.1 Grubb, Ben. Man who introduced serious 'Heartbleed' security flaw denies he inserted it deliberately. The Sydney Morning Herald. 2014-04-11. （原始内容存档于2014-04-12）. 
  12. ^ #2658: [PATCH] Add TLS/DTLS Heartbeats. OpenSSL. 2011. （原始内容存档于2017-08-08）. 
  13. ^ Meet the man who created the bug that almost broke the Internet. Globe and Mail. 2014-04-11. （原始内容存档于2018-01-04）. 
  14. ^ 14.0 14.1 14.2 14.3 14.4 Heartbleed Bug. 2014-04-08 [2014-04-10]. （原始内容存档于2014-04-07）. 
  15. ^ Goodin, Dan. Critical crypto bug in OpenSSL opens two-thirds of the Web to eavesdropping. Ars Technica. 2014-04-08. （原始内容存档于2017-12-30）. 
  16. ^ 16.0 16.1 Bar-El, Hagai. OpenSSL "Heartbleed" bug: what's at risk on the server and what is not. 2014-04-09. （原始内容存档于2014-04-13）. 
  17. ^ Mark J Cox – #Heartbleed. [2014-04-12]. （原始内容存档于2014-04-16）. 
  18. ^ Dewey, Caitlin. Why is it called the 'Heartbleed Bug'?. [2014-11-25]. （原始内容存档于2014-10-09）. 
  19. ^ Lee, Timothy B. Who discovered the vulnerability?. Vox. 2014-04-10 [2017-12-04]. （原始内容存档于2017-12-05） （英语）. 
  20. ^ Lee, Ariana. How Codenomicon Found The Heartbleed Bug Now Plaguing The Internet - ReadWrite. ReadWrite. 2014-04-13 [2017-12-04]. （原始内容存档于2017-09-05） （美国英语）. Discovered independently by Google engineer Neel Mehta and the Finnish security firm Codenomicon, Heartbleed has been called “one of the most serious security problems to ever affect the modern web.”（由谷歌工程师尼尔·梅塔和芬兰安全公司Codenomicon独立发现，心脏出血被称为“影响现代网络的最严重的安全问题之一”。） 
  21. ^ Näin suomalaistutkijat löysivät vakavan vuodon internetin sydämestä – transl/Finnish researchers found a serious leakage of the heart of the Internet. 2014-04-10 [2014-04-13]. （原始内容存档于2014-11-04）. 
  22. ^ Mutton, Paul. Half a million widely trusted websites vulnerable to Heartbleed bug. Netcraft Ltd. 2014-04-08 [2014-11-24]. （原始内容存档于2014年11月19日）. 
  23. ^ Perlroth, Nicole; Hardy, Quentin. Heartbleed Flaw Could Reach to Digital Devices, Experts Say. New York Times. 2014-04-11. （原始内容存档于2018-02-25）. 
  24. ^ Chen, Brian X. Q. and A. on Heartbleed: A Flaw Missed by the Masses. New York Times. 2014-04-09. （原始内容存档于2014-04-12）. 
  25. ^ Wood, Molly. Flaw Calls for Altering Passwords, Experts Say. New York Times. 2014-04-10. （原始内容存档于2017-10-19）. 
  26. ^ Manjoo, Farhad. Users' Stark Reminder: As Web Grows, It Grows Less Secure. New York Times. 2014-04-10. （原始内容存档于2018-02-24）. 
  27. ^ Zhu, Yan. Why the Web Needs Perfect Forward Secrecy More Than Ever. Electronic Frontier Foundation. 2014-04-08. （原始内容存档于2017-12-20）. 
  28. ^ Goodin, Dan. Critical crypto bug exposes Yahoo Mail, other passwords Russian roulette-style. Ars Technica. 2014-04-08. （原始内容存档于2017-07-14）. 
  29. ^ Schneier on Security: Heartbleed. Schneier on Security. 2014-04-11 [2014-04-10]. （原始内容存档于2017-12-23）. 
  30. ^ Joseph Steinberg. Massive Internet Security Vulnerability – Here's What You Need To Do. Forbes. 2014-04-10. （原始内容存档于2018-01-04）. 
  31. ^ Kelion, Leo. BBC News – US government warns of Heartbleed bug danger. BBC. 2014-04-11. （原始内容存档于2017-12-19）. 
  32. ^ 32.0 32.1 OpenSSL bug CVE-2014-0160. Tor Project. 2014-04-07. （原始内容存档于2017-07-10）. 
  33. ^ Grubb, Ben, Heartbleed disclosure timeline: who knew what and when, The Sydney Morning Herald, 2014-04-14 [2014-11-25], （原始内容存档于2014-11-25） 
  34. ^ heartbeat_fix. [2014-04-14]. （原始内容存档于2018-11-19）. 
  35. ^ 35.0 35.1 "complete list of changes" (Git – openssl.git/commitdiff). The OpenSSL Project. 2014-04-07 [2014-04-10]. （原始内容存档于2014-04-13）. 
  36. ^ Graham, Robert. 300k servers vulnerable to Heartbleed two months later. Errata Security. 2014-06-21 [2014-06-22]. （原始内容存档于2014-06-23）. 
  37. ^ Heartbleed certificate revocation tsunami yet to arrive. Netcraft. 2014-04-11 [2014-04-24]. （原始内容存档于2014-05-29）. 
  38. ^ Paul Mutton. Keys left unchanged in many Heartbleed replacement certificates!. Netcraft. 2014-05-09 [2016-09-11]. （原始内容存档于2016年8月27日）. 
  39. ^ Sean Michael Kerner. Heartbleed Still a Threat to Hundreds of Thousands of Servers. eWEEK（英语：eWeek）. 2014-05-10 [2014-12-31]. （原始内容存档于2014-05-11）. 
  40. ^ Evans, Pete, Heartbleed bug: 900 SINs stolen from Revenue Canada, CBC News, 2014-04-14, （原始内容存档于2018-03-14） 某些细节位于页面链接的视频中。
  41. ^ Canada Revenue Agency pushes tax deadline to May 5 after Heartbleed bug. 2014-04-14 [2014-11-04]. （原始内容存档于2014-11-04）. 
  42. ^ Thibedeau, Hannah. Heartbleed bug accused charged by RCMP after SIN breach. CBC News. 2014-04-16. （原始内容存档于2014-10-28）. 
  43. ^ Heartbleed hack case sees first arrest in Canada. BBC News. 2014-04-16. （原始内容存档于2018-01-17）. 
  44. ^ 44.0 44.1 Kelion, Leo. BBC News - Heartbleed hacks hit Mumsnet and Canada's tax agency. BBC News. 2014-04-14. （原始内容存档于2017-11-29）. 
  45. ^ Mumsnet and Heartbleed as it happened. Mumsnet. [2015-02-27]. （原始内容存档于2017-12-29）. 
  46. ^ Ward, Mark. Heartbleed used to uncover data from cyber-criminals. BBC News. 2014-04-29. （原始内容存档于2018-01-06）. 
  47. ^ Lawler, Richard. Cloudflare Challenge proves 'worst case scenario' for Heartbleed is actually possible. Engadget. 2014-04-11. （原始内容存档于2017-12-29）. 
  48. ^ The Heartbleed Challenge. CloudFlare. 2014. （原始内容存档于2014-04-12）. 
  49. ^ Robertson, Jordan. Hackers from China waste little time in exploiting Heartbleed. The Sydney Morning Herald. 2014-04-16. （原始内容存档于2017-12-28）. 
  50. ^ Sam Frizell. Time Magazine: Report: Devastating Heartbleed Flaw Was Used in Hospital Hack. [2014-10-07]. （原始内容存档于2014-10-07）. 
  51. ^ Cipriani, Jason. Heartbleed bug: Check which sites have been patched. CNET. 2014-04-09. （原始内容存档于2017-12-29）. 
  52. ^ Gallagher, Sean. Heartbleed vulnerability may have been exploited months before patch. Ars Technica. 2014-04-09. （原始内容存档于2017-03-03）. 
  53. ^ Eckersley, Peter. Wild at Heart: Were Intelligence Agencies Using Heartbleed in November 2013?. Eff.org. [2014-11-25]. （原始内容存档于2014-11-26）. 
  54. ^ Graham, Robert. No, we weren't scanning for hearbleed before April 7. Errata Security. 2014-04-09 [2014-04-11]. （原始内容存档于2017-10-16）. 
  55. ^ Riley, Michael. NSA Said to Exploit Heartbleed Bug for Intelligence for Years. Bloomberg L.P. 2014-04-12. （原始内容存档于2014-04-11）. 
  56. ^ Molina, Brett. Report: NSA exploited Heartbleed for years. USA Today. [2014-04-11]. （原始内容存档于2014-04-11）. 
  57. ^ Riley, Michael. NSA exploited Heartbleed bug for two years to gather intelligence, sources say. Financial Post. [2014-04-11]. （原始内容存档于2014-04-11）. 
  58. ^ Statement on Bloomberg News story that NSA knew about the 'Heartbleed bug' flaw and regularly used it to gather critical intelligence. National Security Agency. 2014-04-11 [2014-12-31]. （原始内容存档于2017-12-27）. 
  59. ^ Mark Hosenball; Will Dunham. White House, spy agencies deny NSA exploited 'Heartbleed' bug. Reuters. 2014-04-11. （原始内容存档于2014-04-15）. 
  60. ^ Zetter, Kim. U.S. Gov Insists It Doesn’t Stockpile Zero-Day Exploits to Hack Enemies. wired.com. [2014-11-25]. （原始内容存档于2014-11-29）. 
  61. ^ Hunt, Troy. Everything you need to know about the Heartbleed SSL bug. 2014-04-09 [2014-04-11]. （原始内容存档于2014-04-11）. 
  62. ^ git.openssl.org Git – openssl.git/log. git.openssl.org. [2014-11-25]. （原始内容存档于2014-04-15）. 
  63. ^ Spiceworks Community Discussions. community.spiceworks.com. [2014-04-11]. （原始内容存档于2014-04-15）. 
  64. ^ The OpenSSL Project. OpenSSL Security Advisory [07 Apr 2014]. 2014-04-07 [2014-04-10]. （原始内容存档于2014-04-08）. 
  65. ^ OpenSSL versions and vulnerability [9 April 2014]. [2014-04-09]. （原始内容存档于2014年7月5日）. 
  66. ^ Cyberoam Users Need not Bleed over Heartbleed Exploit. cyberoam.com. [2014-04-11]. （原始内容存档于2014-04-15）. 
  67. ^ tls1_process_heartbeat [9 April 2014]. [2014-04-10]. （原始内容存档于2014年8月26日）. 
  68. ^ Why Heartbleed is dangerous? Exploiting CVE-2014-0160. IPSec.pl. 2014 [2014-04-10]. （原始内容存档于2014-04-08）. 
  69. ^ John Graham-Cumming. Searching for The Prime Suspect: How Heartbleed Leaked Private Keys. CloudFlare. 2014-04-28 [2014-06-07]. （原始内容存档于2017-12-28）. 
  70. ^ Judge, Kevin. Servers Vulnerable to Heartbleed [14 July 2014]. [2014-08-25]. （原始内容存档于2014年8月26日）. 
  71. ^ Lee Rainie; Maeve Duggan. Heartbleed’s Impact. Pew Research Internet Project. Pew Research Center: 2. 2014-04-30. （原始内容存档于2017-12-28）. 
  72. ^ Bradley, Tony. Reverse Heartbleed puts your PC and devices at risk of OpenSSL attack. PCWorld. IDG Consumer & SMB. 2014-04-14. （原始内容存档于2016-12-02）. 
  73. ^ 73.0 73.1 Charles Arthur. Heartbleed makes 50m Android phones vulnerable, data shows. The Guardian. Guardian News and Media Limited. 2014-04-15. （原始内容存档于2017-12-29）. 
  74. ^ Security Now 451. Twit.Tv. [2014-04-19]. （原始内容存档于2014-04-19）. 
  75. ^ Ramzan, Zulfikar. 'Reverse Heartbleed' can attack PCs and mobile phones. SC Magazine. Haymarket Media, Inc. 2014-04-24. （原始内容存档于2016-10-06）. 
  76. ^ 76.0 76.1 OpenSSL Heartbeat Extension Vulnerability in Multiple Cisco Products. Cisco Systems. 2014-04-09. （原始内容存档于2017-12-29）. 
  77. ^ heartbleed-masstest: Overview. GitHub. [2014-04-19]. （原始内容存档于2014-06-01）. 
  78. ^ Cipriani, Jason. Which sites have patched the Heartbleed bug?. CNET. 2014-04-10 [2014-04-10]. （原始内容存档于2014-04-11）. 
  79. ^ Heartbleed FAQ: Akamai Systems Patched. Akamai Technologies. 2014-04-08. （原始内容存档于2014-04-08）. 
  80. ^ AWS Services Updated to Address OpenSSL Vulnerability. Amazon Web Services. 2014-04-08. （原始内容存档于2014-04-11）. 
  81. ^ Dear readers, please change your Ars account passwords ASAP. Ars Technica. 2014-04-08. （原始内容存档于2017-06-16）. 
  82. ^ All Heartbleed upgrades are now complete. BitBucket Blog. 2014-04-09. （原始内容存档于2014-04-11）. 
  83. ^ Keeping Your BrandVerity Account Safe from the Heartbleed Bug. BrandVerity Blog. 2014-04-09. （原始内容存档于2014-04-11）. 
  84. ^ Twitter / freenodestaff: we've had to restart a bunch.... 2014-04-08. （原始内容存档于2014-04-14）. 
  85. ^ Security: Heartbleed vulnerability. GitHub. 2014-04-08. （原始内容存档于2014-04-10）. 
  86. ^ IFTTT Says It Is 'No Longer Vulnerable' To Heartbleed. LifeHacker. 2014-04-08. （原始内容存档于2014-04-13）. 
  87. ^ Heartbleed bug and the Archive | Internet Archive Blogs. Blog.archive.org. 2014-04-09 [2014-04-14]. 
  88. ^ Twitter / KrisJelbring: If you logged in to any of. Twitter.com. 2014-04-08 [2014-04-14]. （原始内容存档于2014-04-14）. 
  89. ^ The widespread OpenSSL ‘Heartbleed' bug is patched in PeerJ. PeerJ（英语：PeerJ）. 2014-04-09. （原始内容存档于2014-04-11）. 
  90. ^ Was Pinterest impacted by the Heartbleed issue?. Help Center. Pinterest. [2014-04-20]. （原始内容存档于2014-04-21）. 
  91. ^ Heartbleed Defeated. [2014-04-13]. （原始内容存档于2014-06-05）. 
  92. ^ Staff. We recommend that you change your reddit password. Reddit. 2014-04-14 [2014-04-14]. （原始内容存档于2014-04-15）. 
  93. ^ IMPORTANT ANNOUNCEMENTS FROM THE MAKERS OF CHILI. [2014-04-13]. （原始内容存档于2013-07-28）. 
  94. ^ Codey, Brendan. Security Update: We're going to sign out everyone today, here's why. SoundCloud. 2014-04-09. （原始内容存档于2014-04-12）. 
  95. ^ SourceForge response to Heartbleed. SourceForge. 2014-04-10. （原始内容存档于2014-04-11）. 
  96. ^ Heartbleed. SparkFun（英语：SparkFun Electronics）. 2014-04-09. （原始内容存档于2014-04-13）. 
  97. ^ Heartbleed. Stripe. 2014-04-09 [2014-04-10]. （原始内容存档于2014-04-13）. 
  98. ^ Tumblr Staff-Urgent security update. 2014-04-08 [2014-04-09]. （原始内容存档于2014-04-09）. 
  99. ^ Hern, Alex. Heartbleed: don't rush to update passwords, security experts warn. The Guardian. 2014-04-09. （原始内容存档于2015-01-07）. 
  100. ^ 100.0 100.1 Grossmeier, Greg. [Wikitech-l] Fwd: Security precaution – Resetting all user sessions today. Wikimedia Foundation. 2014-04-08 [2014-04-09]. （原始内容存档于2014-06-18）. 
  101. ^ Grossmeier, Greg. Wikimedia's response to the "Heartbleed" security vulnerability. Wikimedia Foundation blog. Wikimedia Foundation. 2014-04-10 [2014-04-10]. （原始内容存档于2014-04-13）. 
  102. ^ Wunderlist & the Heartbleed OpenSSL Vulnerability. 2014-04-10 [2014-04-10]. （原始内容存档于2014-04-13）. 
  103. ^ Security concerns prompts tax agency to shut down website. CTV News. 2014-04-09 [2014-04-09]. （原始内容存档于2021-01-18）. 
  104. ^ Heartbleed: Canadian tax services back online. CBC News. [2014-04-14]. （原始内容存档于2018-04-25）. 
  105. ^ Fiegerman, Seth. The Heartbleed Effect: Password Services Are Having a Moment. Mashable. 2014-04-14. （原始内容存档于2017-10-16）. 
  106. ^ LastPass and the Heartbleed Bug. LastPass. 2014-04-08 [2014-04-28]. （原始内容存档于2017-12-30）. 
  107. ^ [tor-relays] Rejecting 380 vulnerable guard/exit keys. Lists.torproject.org. [2014-04-19]. （原始内容存档于2014-04-19）. 
  108. ^ Tor Weekly News—April 16th, 2014 | The Tor Blog. Blog.torproject.org. [2014-04-19]. （原始内容存档于2014-04-19）. 
  109. ^ Gallagher, Sean. Tor network's ranks of relay servers cut because of Heartbleed bug. Ars Technica. 2012-05-17 [2014-04-19]. （原始内容存档于2014-04-20）. 
  110. ^ Mimoso, Michael. Tor Blacklisting Exit Nodes Vulnerable to Heartbleed Bug | Threatpost | The first stop for security news. Threatpost. [2014-04-19]. （原始内容存档于2014-04-19）. 
  111. ^ Paul Younger. PC game services affected by Heartbleed and actions you need to take. IncGamers. 2014-04-11. （原始内容存档于2014-04-15）. 
  112. ^ HP Servers Communication: OpenSSL "HeartBleed" Vulnerability. 2014-04-18. （原始内容存档于2016-03-04）. 
  113. ^ FileMaker products and the Heartbleed bug. 2014-05-06 [2015-01-01]. （原始内容存档于2016-10-12）. 
  114. ^ italovignoli. LibreOffice 4.2.3 is now available for download. The Document Foundation. 2014-04-10 [2014-04-11]. （原始内容存档于2014-04-12）. 
  115. ^ CVE-2014-0160. LibreOffice. 2014-04-07 [2014-05-02]. （原始内容存档于2014-05-03）. 
  116. ^ LogMeIn and OpenSSL. LogMeIn（英语：LogMeIn）. [2014-04-10]. （原始内容存档于2014-04-11）. 
  117. ^ McAfee Security Bulletin – OpenSSL Heartbleed vulnerability patched in McAfee products. McAfee KnowledgeBase. McAfee. 2014-04-17. （原始内容存档于2014-04-16）. 
  118. ^ 118.0 118.1 118.2 118.3 118.4 118.5 OpenSSL Security Bug - Heartbleed / CVE-2014-0160. [2014-05-12]. （原始内容存档于2014-05-28）. 
  119. ^ Recent Version History. WinSCP. 2014-04-14 [2014-05-02]. （原始内容存档于2014-04-27）. 
  120. ^ Response to OpenSSL security issue CVE-2014-0160/CVE-2014-0346 a.k.a: "Heartbleed". VMware, Inc. [2014-04-17]. （原始内容存档于2014-04-16）. 
  121. ^ DSA-2896-1 openssl—security update. The Debian Project. 2014-04-07. （原始内容存档于2014-04-11）. 
  122. ^ Ubuntu Security Notice USN-2165-1. Canonical, Ltd. 2014-04-07 [2014-04-17]. （原始内容存档于2014-04-13）. 
  123. ^ Important: openssl security update. Red Hat, Inc. 2014-04-08. （原始内容存档于2014-04-18）. 
  124. ^ Karanbir Singh's posting to CentOS-announce. centos.org. 2014-04-08. （原始内容存档于2014-04-14）. 
  125. ^ Amazon Linux AMI Security Advisory: ALAS-2014-320. Amazon Web Services, Inc. 2014-04-07 [2014-04-17]. （原始内容存档于2014-06-06）. 
  126. ^ Android 4.1.1 devices vulnerable to Heartbleed bug, says Google. NDTV Convergence. 2014-04-14. （原始内容存档于2014-04-20）. 
  127. ^ Around 50 million Android smartphones are still vulnerable to the Heartbleed Bug. Fox News. 2014-04-17. （原始内容存档于2014-04-19）. 
  128. ^ Heartbleed: Android 4.1.1 Jelly Bean could be seriously affected. BGR Media. 2014-04-16. （原始内容存档于2016-10-22）. 
  129. ^ Blaich, Andrew. Heartbleed Bug Impacts Mobile Devices. Bluebox. 2014-04-08. （原始内容存档于2014-05-06）. 。
  130. ^ Snell, Jason. Apple releases Heartbleed fix for AirPort Base Stations. Macworld. 2014-04-22. （原始内容存档于2014-04-25）. 
  131. ^ Kleinman, Alexis. The Heartbleed Bug Goes Even Deeper Than We Realized – Here's What You Should Do. The Huffington Post. 2014-04-11. （原始内容存档于2014-04-12）. 
  132. ^ 132.0 132.1 Yadron, Danny. Heartbleed Bug Found in Cisco Routers, Juniper Gear. Dow Jones & Company, Inc. 2014-04-10. （原始内容存档于2014-04-15）. 
  133. ^ 2014-04 Out of Cycle Security Bulletin: Multiple products affected by OpenSSL "Heartbleed" issue (CVE-2014-0160). Juniper Networks. 2014-04-14. （原始内容存档于2014-04-16）. 
  134. ^ IPCop 2.1.4 is released. IPCop（英语：IPCop）. 2014-04-08 [2014-04-11]. 139697815506679. （原始内容存档于2020-05-16）. 
  135. ^ OpenSSL "Heartbleed" Information Disclosure, ECDSA. pfSense. 2014-04-08 [2014-05-02]. （原始内容存档于2014-05-02）. 
  136. ^ Heartbleed Bug Issue. Western Digital. 2014-04-10. （原始内容存档于2014-04-19）. 
  137. ^ Brewster, Tom. Heartbleed: 95% of detection tools 'flawed', claim researchers. The Guardian. Guardian News and Media Limited. 2014-04-16. （原始内容存档于2014-10-21）. 
  138. ^ Tripwire SecureScan. Tripwire - Take Control of IT Security and Regulatory Compliance with Tripwire Software. [2014-10-07]. （原始内容存档于2014-04-16）. 
  139. ^ AppCheck - static binary scan, from Codenomicon. [2014-10-07]. （原始内容存档于2014-10-17）. 
  140. ^ Arbor Network's Pravail Security Analytics. Arbor Network. [2014-10-07]. （原始内容存档于2014-04-11）. 
  141. ^ Norton Safeweb Heartbleed Check Tool. [2014-10-07]. （原始内容存档于2014-10-10）. 
  142. ^ Heartbleed OpenSSL extension testing tool, CVE-2014-0160. Possible.lv. [2014-04-11]. （原始内容存档于2014-04-11）. 
  143. ^ Test your server for Heartbleed (CVE-2014-0160). [2014-11-25]. （原始内容存档于2014-11-25）. 
  144. ^ Cyberoam Security Center. [2014-11-25]. （原始内容存档于2014-04-15）. 
  145. ^ Critical Watch :: Heartbleed Tester :: CVE-2014-0160. Heartbleed.criticalwatch.com. [2014-04-14]. （原始内容存档于2014-04-14）. 
  146. ^ metasploit-framework/openssl_heartbleed.rb at master. [2014-11-25]. （原始内容存档于2015-06-28）. 
  147. ^ OpenSSL Heartbeat Vulnerability Check (Heartbleed Checker). [2014-11-25]. （原始内容存档于2014-12-24）. 
  148. ^ Heartbleed Detector: Check If Your Android OS Is Vulnerable with Our App. Lookout手机安全公司（英语：Lookout Mobile Security）部落格. 2014-04-09 [2014-04-10]. （原始内容存档于2014-04-13）. 
  149. ^ Heartbleed checker. LastPass. [2014-04-11]. （原始内容存档于2014-04-10）. 
  150. ^ OpenSSL Heartbleed vulnerability scanner :: Online Penetration Testing Tools | Ethical Hacking Tools. Pentest-tools.com. [2014-04-11]. （原始内容存档于2014-04-13）. 
  151. ^ Stafford, Jared. heartbleed-poc.py. Red Hat, Inc. 2014-04-14. （原始内容存档于2014-04-12）. 
  152. ^ Qualys's SSL Labs' SSL Server Test. [2014-10-07]. （原始内容存档于2014-10-07）. 
  153. ^ Chromebleed. [2014-10-07]. （原始内容存档于2014-10-18）. 
  154. ^ FoxBleed. [2014-10-07]. （原始内容存档于2014-10-12）. 
  155. ^ SSL Diagnos. SourceForge. [2014-10-07]. （原始内容存档于2014-10-12）. 
  156. ^ CrowdStrike Heartbleed Scanner. [2014-10-07]. （原始内容存档于2014-10-11）. 
  157. ^ Lynn, Samara. Routers, SMB Networking Equipment - Is Your Networking Device Affected by Heartbleed?. PCMag.com. [2014-04-24]. （原始内容存档于2014-04-24）. 
  158. ^ Netcraft Site Report. [2014-10-07]. （原始内容存档于2014-08-17）. 
  159. ^ Netcraft Extensions. [2014-10-07]. （原始内容存档于2014-10-11）. 
  160. ^ Mutton, Paul. Netcraft Releases Heartbleed Indicator For Chrome, Firefox and Opera. Netcraft（英语：Netcraft）. 2014-06-24. （原始内容存档于2014-07-11）. 
  161. ^ Mann, Jeffrey. Tenable Facilitates Detection of OpenSSL Vulnerability Using Nessus and Nessus Perimeter Service. Tenable Network Security（英语：Tenable Network Security）. 2014-04-09. （原始内容存档于2014-04-13）. 
  162. ^ Nmap 6.45 Informal Release. 2014-04-12. （原始内容存档于2014-04-17）. 
  163. ^ VRT: Heartbleed Memory Disclosure – Upgrade OpenSSL Now!. 2014-04-08. （原始内容存档于2014-04-11）. 
  164. ^ Blogs | How to Detect a Prior Heartbleed Exploit. Riverbed. 2014-04-09. （原始内容存档于2014-04-19）. 
  165. ^ Patched Servers Remain Vulnerable to Heartbleed OpenSSL | Hayden James. Haydenjames.io. [2014-04-10]. （原始内容存档于2014-04-13）. 
  166. ^ Security Certificate Revocation Awareness – Specific Implementations. Gibson Research Corporation. [2014-06-07]. （原始内容存档于2014-05-12）. 
  167. ^ Sean Michael Kerner. Heartbleed SSL Flaw's True Cost Will Take Time to Tally. eWEEK（英语：eWeek）. 2014-04-19 [2015-01-10]. （原始内容存档于2021-01-18）. 
  168. ^ 168.0 168.1 168.2 168.3 A. Wheeler, David. How to Prevent the next Heartbleed. 2014-04-29. （原始内容存档于2014-12-25）. 
  169. ^ Merkel, Robert. How the Heartbleed bug reveals a flaw in online security. The Conversation. 2014-04-11. （原始内容存档于2014-04-17）. 
  170. ^ Embedded System Security with Rust: Case Study of Heartbleed. blog.getreu.net. [2019-03-19]. （原始内容存档于2019-09-04）. 
  171. ^ MesaLink is a memory-safe and OpenSSL-compatible TLS library.: mesalock-linux/mesalink, MesaLock Linux, 2019-03-18 [2019-03-19], （原始内容存档于2021-01-03） 
  172. ^ Re: FYA: http: heartbleed.com. Gmane. [2014-04-11]. （原始内容存档于2014-04-11）. 
  173. ^ Theo De Raadt's Small Rant On OpenSSL. Slashdot. Dice. 2014-04-10. （原始内容存档于2014-04-24）. 
  174. ^ OpenBSD has started a massive strip-down and cleanup of OpenSSL. OpenBSD journal. 2014-04-15. （原始内容存档于2014-07-01）. 
  175. ^ Lia Timson. Who is Robin Seggelmann and did his Heartbleed break the internet?. The Sydney Morning Herald. 2014-04-11. （原始内容存档于2014-04-11）. 
  176. ^ Williams, Chris. OpenSSL Heartbleed: Bloody nose for open-source bleeding hearts. The Register. 2014-04-11. （原始内容存档于2016-09-19）. 
  177. ^ Smith, Gerry. How The Internet's Worst Nightmare Could Have Been Avoided. The Huffington Post. 2014-04-10. （原始内容存档于2014-04-27）. The bug revealed this week was buried inside 10 lines of code and would have been spotted in an audit, according to Laurie, who works on the security team at Google.（据谷歌安全团队的劳里说，这星期发现的漏洞隐藏在10行代码中，本可以通过审查发现。） 
  178. ^ John Walsh. Free Can Make You Bleed. ssh communications security. 2014-04-30 [2016-09-11]. （原始内容存档于2016-12-02）. 
  179. ^ Walsh, John. Free Can Make You Bleed. SSH Communications Security. 2014-04-30. （原始内容存档于2014-05-05）. 
  180. ^ Seltzer, Larry. OpenBSD forks, prunes, fixes OpenSSL. Zero Day. ZDNet. 2014-04-21 [2014-04-21]. （原始内容存档于2014-04-21）. 
  181. ^ Pagliery, Jose. Your Internet security relies on a few volunteers. CNNMoney. Cable News Network. 2014-04-18. （原始内容存档于2014-04-23）. 
  182. ^ 182.0 182.1 182.2 Perlroth, Nicole. Heartbleed Highlights a Contradiction in the Web. The New York Times (The New York Times Company). 2014-04-18. （原始内容存档于2014-05-08）. 
  183. ^ Kaminsky, Dan. Be Still My Breaking Heart. Dan Kaminsky's Blog. 2014-04-10. （原始内容存档于2014-04-14）. 
  184. ^ Chiusano, Paul. The failed economics of our software commons, and what you can about it right now. Paul Chiusano's blog. 2014-12-08. （原始内容存档于2014-12-09）. 
  185. ^ 185.0 185.1 Amazon Web Services, Cisco, Dell, Facebook, Fujitsu, Google, IBM, Intel, Microsoft, NetApp, Rackspace, VMware and The Linux Foundation Form New Initiative to Support Critical Open Source Projects. The Linux Foundation. 2014-04-24. （原始内容存档于2014-04-25）. 
  186. ^ Paul, Ian. In Heartbleed's wake, tech titans launch fund for crucial open-source projects. PCWorld. 2014-04-24. （原始内容存档于2014-04-25）. 
  187. ^ Google Project Zero aims to keep the Heartbleed Bug from happening again. TechRadar. [2017-04-09]. （原始内容存档于2017-04-10） （英语）. 

延伸阅读

编辑
  • Durumeric, Zakir; et al. The Matter of Heartbleed. Proceedings of the 2014 Conference on Internet Measurement Conference. 2014: 475–488. doi:10.1145/2663716.2663755. 

外部链接

编辑
 
维基共享资源上的相关多媒体资源：心脏出血漏洞
检索自“https://zh.wikipedia.org/w/index.php?title=心脏出血漏洞&oldid=84249410”