SSL/TLS與OpenSSL關係

SSL（安全套接層）是保護互聯網傳輸隱私的加密協議，瀏覽器地址欄鎖頭圖標即標識SSL加密。OpenSSL是實現SSL/TLS最廣泛的開源庫，Apache、Nginx等主流服務器廣泛依賴。

漏洞原理：心跳機制被濫用竊取內存

SSL心跳擴展允許客戶端發送「心跳」確認服務器在線。漏洞在於服務器未驗證心跳數據長度與聲稱長度一致，攻擊者聲稱發送64KB實際只發1字節，服務器將內存中相鄰64KB數據回傳，包含私鑰、密碼、Cookie等極敏感信息。

影響規模：全球三分之二網站+郵件/IM/VPN等

Apache+Nginx佔全球Web服務器~66%。SSL還用於郵件客戶端、即時通訊、VPN等。私鑰洩露後果最嚴重：攻擊者可解密歷史流量、偽裝合法服務器釣魚、繞過認證。

發現與披露：Codenomicon+Google Security獨立發現，負責任協調披露

研究人員與OpenSSL團隊、關鍵利益方協作，在公布當天同步發布修復版本，將影響降至最低。

誰能利用？從腳本小子到國家級APT

利用代碼網上公開，基本編程技能即可上手。NSA等情報機構擁有骨幹網接入權限，若提前知曉漏洞可大規模被動解密流量。Snowden文件顯示NSA長期研究OpenSSL源碼，提前掌握可能性極大。

用戶無法自救，唯有等待服務端修復後換密碼

用戶端無任何緩解措施。網站修復後，用戶應立即修改密碼、啟用雙因子。360提供在線檢測工具輔助站長自查。