什么是 SSL 心跳？答案

【问题标题】：What are SSL heartbeats?什么是 SSL 心跳？
【发布时间】：2014-05-24 09:39:28
【问题描述】：

随着关于 heartbleed 错误的所有讨论不断，很难找到有关 OpenSSL 的被利用心跳扩展的确切用途的信息。

另外，是否可以在不使用 -DOPENSSL_NO_HEARTBEATS 建议的 @http://heartbleed.com/ 建议的情况下为 Apache w/ mod_ssl 禁用它？

【问题讨论】：

xkcd.com/1354
@JBentley 哈哈，这似乎总结得差不多了，谢谢！让我想知道为什么他们不只是强制执行恒定大小而是决定允许用户指定大小。
为什么允许用户指定尺寸：security.stackexchange.com/questions/55606/…

标签： apache ssl openssl heartbleed-bug

【解决方案1】：

试试这个以获得有关心跳的信息： http://www.troyhunt.com/2014/04/everything-you-need-to-know-about.html

我不是一个真正的 apache 人，我认为该标志有效，但可能会影响性能。建议是重新编译。还要与您的开发人员讨论发送电子邮件的问题，您可能需要考虑要求您的用户更改他们的密码 - 只是为了安全起见。我已经收到了几封这样的服务电子邮件

【讨论】：

【解决方案2】：

Heartbeat 是一种回显功能，其中任一方（客户端或服务器）请求将其发送到另一方的多个字节数据回显。这个想法似乎是这可以用作保持活动功能，回显功能可能意味着允许验证两端是否继续正确处理加密和解密。当然，问题在于，在最近的补丁之前，OpenSSL 并没有防止发回比最初提供的更多的数据。我真的不知道心跳扩展在应用程序中实际使用的位置，因为大多数需要它的通信（例如 websockets）都依赖于它们自己在更高级别上实现的保持活动功能。

我无法回答你的第二个问题——但如果答案是肯定的，我会感到惊讶。

【讨论】：

金字塔有什么方法可以私信联系你吗？
@schone 不，我想这里没有办法私下联系我（我不想公开发布我的联系方式，网站也不想实现私信，请参阅@ 987654321@)。不过，我很乐意问你这是怎么回事，如果有办法联系你...？
是的，用相同的句柄在 twitter 上试试看，这是关于你的一篇旧帖子，我想问你是否仍然对它感兴趣
@pyramids 我也在尝试与您联系，可能是关于同一个帖子。您能通过 jd (dot) dallago (at) gmail (dot) com 的电子邮件与我联系吗？或在推特上@_jayd3e。我可以在那里给你更多信息。

【解决方案3】：

您可以通过阅读 RFC6520：https://www.rfc-editor.org/rfc/rfc6520 找到有关 TLS 和 DTLS Heartbeat 扩展的所有详细信息。

【讨论】：

【解决方案4】：

观看此视频。这解释了第一部分中的心跳是什么，然后解释了心跳。 http://vimeo.com/91425662

【讨论】：

这个视频真的很棒。