OpenSSL Project

修正版ライブラリは次の鍵を安全に作れた。しかし、すでに遠隔の認可ファイルや証明書、VPN、バックアップへ渡った鍵を見つけ、拒否させる力までは持っていなかった。

Heartbleed は広く共有される暗号ライブラリ内の小さな境界チェックエラーだったが、その説明責任の影響範囲は一つの機能や一つのプロジェクトをはるかに超えた。欠陥は認証なしにプロセスメモリを露出可能であり、確実な歴史的悪用証拠は乏しく、修復には修正パッケージのインストール以上のものが必要だった。本分析は、コード、開示、復旧の年表を再構築した上で、メンテナー、ディストリビューター、製品ベンダー、事業者、認証局、政府、機関ユーザーにわたる管理所有権を評価する。

Исправленная библиотека перестала создавать предсказуемые секреты, но старые ключи продолжали открывать двери, пока каждый сервер, клиент и партнёр не выполнил собственное правило отказа.

Die reparierte Bibliothek erzeugte künftig bessere Geheimnisse. Bereits verteilte Schlüssel blieben wirksam, bis jeder Server, Client und Gegenpart seine eigene Ablehnung ausführte.

أوقف الإصدار المصحح إنتاج أسرار قابلة للتوقع، لكنه لم يجد المفاتيح القديمة في ملفات التفويض والشهادات وشبكات VPN والنسخ الاحتياطية، ولم يجبر أي جهة معتمدة عليها على رفضها.

O gerador corrigido deixou de criar segredos previsíveis; as chaves antigas continuaram válidas para cada servidor, cliente e par que ainda não tivesse aprendido a recusá-las.

修正版ライブラリは次の鍵を安全に作れた。しかし、すでに遠隔の認可ファイルや証明書、VPN、バックアップへ渡った鍵を見つけ、拒否させる力までは持っていなかった。

修复后的库不再生成可预测的秘密，但旧密钥仍留在远端授权文件、证书、VPN 对端与备份里；只有依赖方真正执行拒绝，它的权力才会结束。

La biblioteca reparada dejó de crear secretos previsibles. Las claves antiguas siguieron abriendo puertas hasta que cada sistema que confiaba en ellas aprendió a decir que no.

Le paquet corrigé savait produire de meilleurs secrets. Il ne savait ni retrouver les anciens, ni les effacer des serveurs distants, ni convaincre un client de cesser de les reconnaître.

The repaired library stopped minting predictable keys. It did not find the old ones, remove them from remote authorization files, revoke their certificates or persuade a single relying party to refuse them.

Heartbleed was a small bounds-checking error inside a widely shared cryptographic library, but its accountability footprint extended far beyond one function or one project. The defect could expose process memory without authentication, while reliable historical exploitation evidence was scarce and remediation required more than installing a corrected package. This analysis reconstructs the code, disclosure and recovery chronology before assessing control ownership across maintainers, distributors, product vendors, operators, certificate authorities, governments and institutional users.