Heartbleed 这事儿还没完，说夸张点，可能刚刚开始。1、昨天各家的安全工程师都很辛苦。但搞入侵的可能比你们更辛苦，很多人估计昨晚一宿没睡。他们赶在各家修复前所抓到的数据会在未来几天里被分析、提取、利用。2、据一个向来比较靠谱的同志说：OpenSSL不是唯一存在类似问题的库。

要改密码的现在可以去改了。昨天有些同志当时就吓得说要去改密码——要是昨天没登陆，其实啥事没有，跑去改密码，反倒让密码进内存了。最近安全事件的影响力有赶超80年代副食品涨价的趋势，大家辛苦点，不过对行业是好事。

【备忘】Microsoft 支持生命周期策略常见问题：🔗网页链接

我发表了文章《“Heartbleed”漏洞之后》：……对密码可能被盗取的用户进行额外风控措施……一旦发现异常，再通知修改密码——用另外的信道发这个通知，比如用户的注册邮箱。当然，如果监控到注册邮箱被修改了，往修改前的邮箱发。 🔗“Heartbleed”漏洞之后

统计了一下，平均每个请求可以得到2组明文用户名密码。另外，作为普通用户，能做的大概就是今天别登陆。