有很多网站目前没有受到攻击，但我不知道他们是否是几天前就很脆弱。
例如：
- twitter.com：目前不存在漏洞，但证书的日期是 2014 年 3 月 5 日星期三 00:00:00 UTC
- google.com：目前不存在漏洞，但证书的发布日期为 2014 年 3 月 12 日星期三 09:53:40 UTC
- bankofamerica.com：目前不存在漏洞，但证书的日期是 2013 年 12 月 5 日星期四 00:00:00 UTC
我该怎么办？在他们重新颁发证书之前不要使用这些证书？我怎么知道他们用新密钥重新颁发了证书？似乎我甚至不应该登录这些网站来更改密码，因为没有办法知道它们是真正的网站。
答案1
更新 2014-04-11
Cloudflare 发起了一项挑战，以验证私钥提取是否真的可行。目前已有大约 10 万个请求，验证了人们的担忧。这不再是理论上的，而是已证实。 你可以走了这里阅读它。
还，彭博据报道美国国家安全局已经知道此漏洞至少两年。这是有道理的，因为 NSA 有资源雇佣分析师，他们唯一的工作就是在此类软件中寻找漏洞。现在我们知道美国政府利用它已经很久了，其他国家知道并利用它的可能性很大。
总结 关注各组织关于其系统状态的公告、变更 全部您的密码，并警惕银行或其他金融系统等重要账户上的欺诈/可疑活动。
要了解这种情况为何如此危险，我们首先必须了解这次攻击实际上会造成什么后果。CVE-2014-0160（又名 Heartbleed）是一个缓冲区覆盖漏洞，允许攻击者从运行有漏洞的 OpenSSL 版本的服务器获取高达 64 kB 的内存。
这听起来很糟糕。在实践中如何运作
你说得对，这是一个严重的漏洞，但我们稍后再讨论这个问题。现在我们来谈谈这个漏洞为何有效。传输层安全性（TLS）用于保护许多应用程序的信息，包括HTTP（HTTPS）或确保邮件传输协议例如，如果启用了该功能，则不会发送任何数据。在为 TLS 设定标准的 RFC 5246 中，有一个称为心跳的功能。客户端和服务器来回发送一些数据以保持连接处于活动状态，以便以后使用。现在实际上，客户端将发送一些数据，服务器将直接将其发回，一切都很好。然而，在受影响的 OpenSSL 版本中，没有检查客户端是否实际发送了它声称的数据量。所以如果我发送 1 个字节并告诉服务器我实际上发送了 64 kB，那么它会很乐意地将 64 kB 发回给我。其他字节从哪里来的？这就是问题的关键。OpenSSL 将向您发回 64 kB - 1 字节的内存，该进程可以访问并且您最初没有发送，具体取决于您的 1 字节存储在哪里。这些来自内存的额外字节是问题所在，因为它们可能包含有价值的信息，例如私钥材料¹以及服务器解密要使用的信息。例如：密码、信用卡信息和/或PIN 码。
好的。这对信息安全意味着什么？
如果您了解非对称加密的工作原理，那么您已经知道这很严重，因为泄露会使加密变得模糊不清。这意味着即使服务器可能已修补并且不再泄漏内存，会话仍然可能不安全。有可能在公开之前或在修补期间就已利用了这一点，但目前尚无证据表明发生了攻击。入侵检测系统可能会出现，但目前情况并非如此。 IDS 规则已发布这本身就极其危险，因为操作员不知道他们的密钥是否仍然安全。
我们不得不假设密钥已被泄露，这意味着您通过网络发送的所有内容都可能被第三方解密。缓解这种情况的唯一方法是重新生成密钥并重新颁发新证书，同时撤销旧证书。不幸的是，这需要时间，因为核证机关毫无疑问，现在正被这些请求淹没。但这仍然为中间人攻击或其他网络钓鱼机会。
什么时候才能安全？ 知道什么时候会安全是一个难题。我建议关注一些事情，比如公开声明，解释该漏洞已在他们的环境中得到修补，或者他们从未受到攻击，因为他们从未使用受影响的版本。当他们宣布升级到新版本的 OpenSSL 时，我会确保他们使用的是新签名的证书后该漏洞公开发布的日期为 2014-04-07。
**请注意，如果私钥后来被泄露，先前记录的流量可能会被解密。
作为用户我能做什么来保护自己
在接下来的几天里，如果你可以避免使用网上银行或在线医疗图表访问等关键网站，我建议你这样做。如果你必须这样做，请了解你的会话可能存在风险，并准备好接受由此造成的后果。此外，在组织宣布他们不再易受攻击后，你应该更改您的密码; 使用密码管理器会有所帮助。您还应该准备好更改或监控您使用的任何其他信息，例如银行详细信息或信用卡号。
致活动人士的特别通知
任何事物使用 OpenSSL 的可能会受到影响，包括Tor。政府很可能已经能够利用这个漏洞，因为自从两年多前 OpenSSL 发布以来，他们拥有寻找此类漏洞所需的大量资源，因此您应该做好准备，因为信息可能不再是私密的。
**请注意，如果私钥后来泄露，先前记录的流量可能会被解密，除非完全前向安全性（PFS）已经实施。
¹- 有人声称私钥很可能不会在内存中，但同时也有人声称成功提取了密钥。目前尚不确定哪一方是正确的。
答案2
此漏洞带来的风险被夸大了。我之所以这么说，是因为没有任何证据表明此漏洞在两天前被研究人员公布之前就已被知晓或利用。
我要明确指出，修补易受攻击的网站（尤其是那些在互联网上交易敏感数据的网站）刻不容缓。同样紧迫的是将攻击特征加载到 IDS 和恶意软件防护工具中。在 IT 内部，我们应该将应对这一漏洞作为最高优先级。
话虽如此，我认为公共媒体与这种脆弱性相关的风险程度是不合理的。
个人应该做些什么来保护自己？ 不要使用运行有漏洞的 OpenSSL 版本的网站。
除非有证据表明该漏洞已被利用，否则任何进一步的行动都是毫无意义的，其动机无非是 FUD。你不同意吗？想想每个月或每个季度发布的许多漏洞，允许任意代码执行. 那些给予攻击者根或系统级权限或攻击者随后可以通过提升权限获得这些权限的漏洞，对易受攻击的系统处理的所有数据的安全构成的风险与此漏洞造成的风险一样大，甚至更大。
在许多情况下，这些漏洞是由软件供应商或通知供应商的研究人员发现的。供应商制作补丁并将其发布到市场上，而不公布漏洞详细信息。在某些情况下，安全社区会公布详细信息并发布漏洞利用程序以用于测试工具。我们不会对这些漏洞做出反应说“我们所有的秘密可能都被泄露了！”
如果有证据表明存在漏洞，我们必须做出适当反应。我认为，宣布这一漏洞的研究人员反应过度，媒体也夸大了研究人员的胡言乱语，这会带来巨大风险。 他们是在喊狼来了。
—— 老
答案3
并非所有网站都使用 OpenSSL 库进行 HTTPS 攻击（例如，还有 GnuTLS 和 PolarSSL），也并非所有版本的 OpenSSL 都存在漏洞（旧版本不存在漏洞）。这意味着您提到的网站很可能没有更改证书，因为它们不需要更改。仅查看证书颁发日期还不足以说明问题。
有许多工具和网站可以帮助您检查网站是否存在漏洞，例如： -http://filippo.io/Heartbleed -https://gist.github.com/mitsuhiko/10130454 -https://www.ssllabs.com/ssltest/
不幸的是，正如您已经指出的那样，这并不能告诉您他们是否这样做了。恐怕这里的关键问题是信任：没有办法客观地验证他们使用和使用过哪些 SSL 库，除非有内部信息。您必须希望他们做了他们需要做的事情（因为这是正确的事情，甚至因为他们害怕被公众羞辱），如果他们这样做了，您只能希望他们对此持开放态度。
当然，你可以随时询问这些网站是否受到影响，我看到很多网站都对此发表了公开声明。使用 Twitter 或 Facebook 等社交媒体公开询问通常很有效。
因此，我能给出的最好建议是一条一般性建议：小心在互联网上留下什么，以及小心信任哪些网站来保管您的个人信息。
答案4
您可以输入以下网站的网址：LastPass Heartbleed 检查器它会告诉您该网站是否曾经或现在仍存在漏洞，以及其证书何时更新。
还有一个名为Chromebleed如果您访问的网站受到 Heartbleed 漏洞影响，它会向您发出警告。
Mashable.com列出了一些知名网站，包括这些网站是否受到影响，以及您是否应该更改密码。有趣的是，银行和经纪公司列表中的网站均未受到影响。