由不受影响的服务器提供SSL时的Heartbleed漏洞?

*我想问一下在服务器上安装了易受攻击的OpenSSL版本的情况,但该服务器没有提供SSL服务。

scheme1:我在负载平衡器上安装了一个SSL证书,后面是一个IIS服务器场。 IIS不受Heartbleed影响,并且端口443被closures。 但是我们发现负载平衡器是脆弱的。 Heartbleed的哪些方面会影响我们?

场景2:在这种情况下,负载均衡器不容易受到攻击。 同样,负载均衡器已经安装了证书。 但是,它背后是一个运行PHP的服务器场,安装并启用了易受攻击的OpenSSL版本 – 可能是因为另一个扩展需要它,或者有人启动它,而没有想到。 端口443也在这些服务器上closures。 Heartbleed的哪些方面会影响我们?

根据我的理解,在情况1中,我们通过电缆连接到服务器的密钥和数据有被截获的风险。 但是, IIS应用程序服务器内存的内容不会被暴露。

再次,根据我的理解,在情况2中可能是错误的,没有风险。

有人可以validation或纠正我的假设?

Heartbleed允许在TLS连接期间将内存暴露于运行[OpenSSL的易受攻击版本]的服务器上。 所以,为了让人心生可以被利用,一个服务器必须运行一个易受攻击的OpenSSL版本, 接受TLS连接。

因此,在场景1中,您可能会暴露负载平衡器的内存,因为它是运行OpenSSL的服务器。

在场景2中,假设您的场景设置为不能对这些服务器进行TLS连接,则不存在任何易受攻击的情况。 无法build立TLS连接,因此OpenSSL的易受攻击版本无法被利用。