近日网络安全界谈论的影响安全最大的问题就是Heartbleed漏洞，该漏洞是4月7号国外黑客曝光的。据Vox网站介绍，来自Codenomicon和谷歌安全部门的研究人员，发现OpenSSL的源代码中存在一个漏洞，可以让攻击者获得服务器上K内存中的数据内容。该漏洞在国内被译为” OpenSSL心脏出血漏洞”，因其破坏性之大和影响的范围之广，堪称网络安全里程碑事件。
OpenSSL心脏出血漏洞的大概原理是OpenSSL在2年前引入了心跳(heartbeat)机制来维持TLS链接的长期存在，心跳机制是作为TLS的扩展实现，但在代码中包括TLS(TCP)和DTLS(UDP)都没有做边界的检测，所以导致攻击者可以利用这个漏洞来获得TLS链接对端（可以是服务器，也可以是客户端）内存中的一些数据，至少可以获得16KB每次，理论上讲最大可以获取KB。
OpenSSL是为网络通信提供安全及数据完整性的一种安全协议，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议．多数加密网站是用名为的开源软件包，由于这也是互联网应用最广泛的安全传输方法，被、、网站、、等重要网站广泛使用，所以影响范围广大。
这个漏洞对中国有多大影响？漏洞爆发当日国内一线电商几乎都存在此漏洞，淘宝修复最快，大概到4月8日下午5点左右修复漏洞，但这期间可能有不少数据被抓走。还有一些大型网站，例如雅虎的登录存在信息泄露，网易到８日晚上８点还没修复，还有一些在线交易网站泄露用户ID导致可以伪造交易信息。直到4月10晚上爱奇艺还没有修复，但目前大部分主流网站已经修复。所以OpenSSL心脏出血漏洞也堪称中国网络安全的一个灾难事件。
该漏洞还有哪些后继影响？
１.新的攻击方式已出现，攻击者能利用该漏洞窃走受影响网站的用户密码和私钥，使用存在漏洞的OpenSSL版本的网站应该废除所有旧私钥和证书。
２.服务器的问题是第一波，第三方软件使用有缺陷的OpenSSL才是接下来需要考虑的问题，攻击者会利用这个漏洞获取用户原本想要保密的信息。存在客户端和服务端的软件也可能存在这个漏洞，甚至恶意利用者可能使用让客户端连接服务器端，服务器端发起针对客户端的攻击窃取客户端数据。
３.暴露在的服务器虽已得到及时修补，但一些公司内网的服务器却被忽略，很容易被内部恶意读取或是黑客内网渗透读取。
４.一些安全组织甚至在研究利用此漏洞做虚拟机逃逸，在虚拟机中让真实机远程执行代码，且利用思路很诡异。我们如何有效的修补该漏洞？最简单有效的修补方案是升级到OpenSSL 1.0.1g。目前SNORT也已经出了相关规则，可以用于IDS/IPS拦截，也有很多第三方CDN流量规则拦截。但最新的利用程序是基于TLS加密信道发送的恶意请求，很轻松的绕过基于网络层的IDS和CDN流量层的规则拦截。目前安慧网盾基于软件端采用了加规则拦截并自动修复该漏洞，有效保护服务器安全。
其实在去年还有一个类似的严重安全漏洞lucky-13（CVE-2013-0169），影响了过去10年的所有TLS实现，OpenSSL的很多版本都可以完整的还原成明文，所幸该漏洞利用难度较高，利用程序也未大规模流传，openssl 也专门发布1.0.1e修复了这个漏洞。但是大部分服务器升级了，很多网关设备依然使用存在这个漏洞的版本。
OpenSSL心脏出血漏洞也引起国内安全界的很多讨论:
１.这个漏洞是OpenSSL在2年前引入了心跳(heartbeat)机制来维持TLS链接的长期存在产生。
２. 这个洞的地方其实是经过了OpenSSL社区包括Qualys在内的厂商的代码审计和fuzzing测试，但都没测出问题，当然fuzzing后不会崩溃，是不能测出。
３.有人猜测这个洞的样本很可能是来自SOC的NETFLOW审计。而谁的"SOC"是最厉害的？貌似除了BIG BROTHER没其他人了，当然这个消息NSA已经否认。