所谓的“心脏滴血”漏洞是流行开源安全软件某些版本中的严重缺陷，该软件用于在在线交易期间保护密码或支付卡信息等加密数据。该漏洞于4月7日被公布，可能影响了全球三分之二的Web服务器，包括大大小小的在线商家。
在最坏的情况下，这一互联网安全漏洞意味着，那些一直正确操作并按规定保护客户数据的在线零售商，可能仍然向几乎任何黑客暴露了敏感信息。
什么是“心脏滴血”漏洞？
“心脏滴血”漏洞是 OpenSSL 1.0.1 至 1.0.1f 版本中的一个编码缺陷。OpenSSL是一个开源的、商业级的开发工具包和库，用于实现安全套接层（SSL）和传输层安全（TLS）协议。
心跳是 TLS 协议的扩展，允许服务器和客户端（例如网页浏览器）在没有数据传输时保持连接打开。不过分深入技术细节，“心跳”扩展的工作原理是：一方（以网页浏览器为例）发送一个包含一定数量字节有效载荷（内容）的随机消息；另一方（以网页服务器为例）应回复一个具有相同字节数的镜像消息。不幸的是，在上述 OpenSSL 版本中，本应用于确认消息有效载荷匹配的代码行简单地缺失了。本质上，任何格式正确的消息都能从服务器获得响应。因此，信息就像从“心跳”中泄漏出来一样，从而形成了“心脏滴血”漏洞。
约翰斯·霍普金斯大学的密码学家兼研究员 Matthew Green 在其对“心脏滴血”漏洞的精彩描述中写道：“这个问题相当简单。存在一个微小的漏洞——处理 TLS ‘心跳’消息的代码中缺少一个简单的边界检查——通过滥用此机制，攻击者可以要求正在运行的 TLS 服务器交出其私有内存空间的一个相对较大的切片（最多 64KB）。由于这也是 OpenSSL 存储服务器私钥材料的同一内存空间，攻击者可能会获取：(a) 长期服务器私钥、(b) TLS 会话密钥、(c) 如密码等机密数据、(d) 会话票据密钥。”
Green 指出：“上述任何一种情况都可能使攻击者能够解密正在进行的 TLS 会话或窃取有用信息。”然而，第 (a) 项最为严重，因为获得服务器主私钥的攻击者有可能解密过去的会话（如果使用非完美前向保密 RSA 握手）或在将来冒充服务器。最糟糕的是，这种利用方式不会留下任何痕迹。
由于“心脏滴血”漏洞既可以用于拦截加密通信，又可以请求“相对较大切片”的服务器内存，因此它实际上比服务器未使用加密的情况更糟。
最后，包含缺失代码的 OpenSSL 版本自 2011 年以来就已存在。
在线零售商为何应关注 Heartbleed 漏洞
Heartbleed 漏洞意味着，即使那些严格遵守支付卡行业数据安全标准（PCI DSS）并采取一切谨慎措施保护客户私人信息或银行卡号的商家，仍可能面临风险。甚至一些仅拥有实体门店的零售商也可能存在漏洞。
关键在于，客户的私人信息和银行卡号处于风险之中，每位商家都应致力于保护客户。
商家如何保护客户数据免受 Heartbleed 漏洞侵害
零售商，尤其是在线卖家，需要采取一些步骤来保护客户免受 Heartbleed 漏洞的影响。
首先，确保如果您的 Web 服务器正在运行易受攻击的 OpenSSL 版本，应立即对其进行更新、打补丁或在编译时移除心跳扩展功能。这将消除未来的安全威胁。
不幸的是，由于实际上无法确定特定 Web 服务器是否已被入侵（即某些黑客已经获取了该服务器的私钥），因此零售商在确认服务器已运行安全版本的 OpenSSL 后，必须撤销并替换 SSL 证书。
最后，重置用户密码可能是一个好主意，因为如果服务器已被入侵，不法分子可能已经掌握了用户的当前密码。
如何保护您的企业免受 Heartbleed 黑客攻击
鉴于 Heartbleed 漏洞的范围和相关风险，更改大多数（如果不是全部）重要业务账户的密码是一个非常明智的做法。对于银行密码尤其如此。
与 Heartbleed 相关的文章和资源
- Heartbleed Bug 网站（来自 Codenomicon）。
- Mathew Ingram 的文章《了解 Heartbleed Web 安全漏洞所需的一切》（Gigaom）。
- 马修·格林的《Attack of the Week: OpenSSL Heartbleed》。
- 杰克·菲利普在《时代日报》上发表的《Heartbleed Bug Imperials Web Encryption; Passwords, Credit Card Numbers at Risk》。
- 詹姆斯·莱恩来自福布斯的《Heartbeat Heartbleed Breaks Worldwide Internet Security Again》。
- John Biggs 的文章《Heartbleed，第一个拥有酷炫标志的安全漏洞》（TechCrunch）。
- 肖恩·加拉格尔来自 Ars Technica 的帖子：Heartbleed vulnerability may have been exploited months before patch。
- Danny Yadron 的《华尔街日报》文章《大规模OpenSSL漏洞‘Heartbleed’威胁敏感数据》。
- 保罗·达克林在 Naked Security 博客上发布的帖子：Heartbleed – heartache should you REALLY change your passwords right away?。
- OpenSSL 的安全公告。