> Per "esploitare" Heartbleed, è necessario fare un handshake HTTP > completo (e pure più di uno, AFAIK).
Non è così. Anche se non capisco bene cosa intendi con handshake HTTP, per "esploitare" heartbleed manco ti serve completare l'handshake TLS: se ti accontenti di avere il traffico heartbeat non criptato, ti basta iniziare ad inviare le richieste heartbeat subito dopo "server hello". E in questa fase della sessione TLS non sarebbe neanche possibile fare delle richieste HTTP... neanche se te ne scappasse una per sbaglio :-) Ovviamente è possibile anche fare richieste HTTP (dopo aver completato l'handshake TLS) in aggiunta a quelle di heartbeat, ma non penso che i pro giustifichino i contro. Ciao Fabio ________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
