网站运营商应该如何处理 Heartbleed OpenSSL 漏洞？主要讲的是运营网站的人应该如何处理Heartbleed。
网站的最终用户应该做什么？
他们需要更改密码吗？
如果是这样，他们是否应该立即登录网站并更改密码？或者他们应该等到他们的网站更改了他们的网站以更安全，然后再更改他们的密码？
（我是https://security.stackexchange.com/users/8335/andrew-grimm，但以访客身份发帖，因为我尚未登录，wordpress openID 无法正常工作，我不想在 Heartbleed 宣布后使用密码）
最终用户应该等到他们的系统管理员联系他们并提供进一步的说明。在某些时候，在您的系统管理员修补易受攻击的系统后，您可能必须：
我希望大多数用户不会注意到即将发生的大量密钥/证书更改，因为这些更改发生在服务器端。至于客户端根 CA 可信证书，我希望私钥对应方将驻留在气隙系统上，因此不会受到此漏洞的攻击。任何必要的证书存储更新都可能在后台更新中透明地发生。
我从heartbleed.com总结了上面的要点（强调我的）：
什么是泄露的主键材料，如何恢复？
这些是皇冠上的宝石，加密密钥本身。泄露的密钥允许攻击者解密任何过去和未来到受保护服务的流量，并随意冒充服务。可以绕过 X.509 证书中的加密和签名提供的任何保护。从此泄漏中恢复需要修补漏洞、撤销受损密钥以及重新发布和重新分发新密钥。即使做所有这些仍然会使过去被攻击者拦截的任何流量仍然容易被解密。所有这些都必须由服务的所有者完成。
什么是泄露的二级密钥材料，如何恢复？
例如，这些是易受攻击的服务中使用的用户凭据（用户名和密码） 。从此泄漏中恢复需要服务的所有者首先根据上述步骤恢复对服务的信任。在此之后，用户可以根据受到损害的服务所有者的指示开始更改他们的密码和可能的加密密钥。所有会话密钥和会话 cookie 都应无效并被视为已泄露。
什么是泄露的受保护内容以及如何恢复？
这是易受攻击的服务处理的实际内容。它可能是个人或财务详细信息、私人通信（如电子邮件或即时消息）、文档或任何值得通过加密保护的东西。只有服务的所有者才能估计泄露的可能性，他们应该相应地通知用户。最重要的是恢复对如上所述的主要和次要密钥材料的信任。只有这样才能在未来安全使用受感染的服务。
什么是泄露的抵押品以及如何恢复？
泄露的抵押品是在泄露的内存内容中暴露给攻击者的其他细节。这些可能包含技术细节，例如内存地址和安全措施，例如用于防止溢出攻击的金丝雀。这些只有当代价值，当 OpenSSL 升级到固定版本时，它们对攻击者将失去价值。
@scuzzy-delta 上面有一个很好的概述，但我想我可能会更预防性地回答。
在线服务的一般安全 性 避免此类错误造成伤害的最佳方法之一是使用密码管理器，如 KeePass（适用于 Mac 和 Linux 的 KeePassx）。密码管理员可以为您使用的所有网站生成和存储完全唯一的密码。这避免了当您为多个服务使用相同密码或相同密码的派生密码时发生的众多安全风险。
回复：更改密码 更改密码固然很好，但如果您使用的服务或网站仍然容易受到 Heartbleed 的攻击，那么新密码也可能会受到损害。在大多数情况下，尽管我认为服务正在修补错误或宣布它们没有受到影响。