Heartbleed工程師：這是一場“意外”
在過去的幾天里，Heartbleed漏洞已經對安全行業和Web服務造成了很大影響。但是，與事故相關的程序員卻表示，這是一場意外。
Heartbleed是一個影響OpenSSL 1.0.1和 1.0.2的加密漏洞，1.0.1在網頁和大量流行的Web服務上使用得很多。從理論上說，該漏洞是用于查看跨HTTP，顯著安全的信息，通常在瀏覽器的地址欄中，用一個小小的鎖來表示。
存在安全風險的數據，包括密碼，密鑰，詳細的金融信息，個人身份信息等——都可以讓黑客潛入，刪除數據，而且不留痕跡。
Bruce Schneier在其安全博客上寫道：“本質上，一個黑客一次可以從一臺服務器抓取到64K內存。這種攻擊不留痕跡，而且可以重復多次。這意味著，內存中的任何信息——SSL密鑰，用戶密鑰——都不安全。 而且你不得不假設一切信息都被偷取了。是一切信息。所以這是災難性的。如果要從1到10來評級的話，可以將此評為11級。”
OpenSSL程序員Robin Seggelmann告訴《悉尼早報》的Herald，稱不安全的代碼會呆滯Heartbleed漏洞，此OpenSSL項目中，他提交的且由其他程序員檢查過的一些地方就出現了這種情況。
這些代碼被額外的編程方式提煉過了，目的是加密協議，然后由上百萬的網站來使用，就是這些看著挺靠譜的代碼出現了漏洞，原因是“在一個包含長度的變量上缺乏驗證。”Seggelmann和其他檢查代碼的人都沒有注意到缺失的驗證，因此，代碼最終從開發者手中到了加密軟件里。
這名德國軟件開發員否認這個安全漏洞是精心安排的，他告訴公眾，OpenSSL中的這個錯誤是“不起眼的”，但影響卻“十分嚴重。”
Seggelmann提到，有人試圖用陰謀論來解釋這個漏洞，特別是在前NSA員工斯諾登曝出全球政府的監控行為之后。同時，他承認，也有可能情報部門在過去兩年中已經知曉這個漏洞，并對其進行利用，但這個漏洞并非“有意而為。”Seggelmann稱：
“在這個案例中，這個漏洞只是新特性編寫中出現的編程錯誤，不幸的是這個錯誤出現在安全相關的部分。它根本不是刻意留下的漏洞，更何況，我自己以前還修復過OpenSSL漏洞，而且當時打算貢獻給這個項目。”
許多網站都修復了這個安全漏洞，包括Facebook，YouTube，Tumblr，Reddit和Instagram。你可以用LastPass的Heartbleed檢查器來查看自己喜愛的Web服務是否仍然存在這個漏洞，一旦這些公司修復好漏洞，建議你最好更換一下你的服務密碼。
