OpenSSL
支撑全球HTTPS加密的开源基础库，2014年因Heartbleed漏洞暴露开源安全基础设施资金匮乏问题
核心事实
时间轴 (近 90 天)
OpenSSL默认不允许用户指定私钥，只接受随机生成的私钥，这被视为防止私钥被手动指定的最后一道防线。
私有CA的常见实现包括基于OpenSSL/Vault的轻量CA、云厂商托管私有CA服务（如AWS Private CA、Azure Trusted Signing）以及企业PKI平台。
如果 Git 链接的是 OpenSSL 且其 CA 包未随系统更新而刷新，就会出现「系统已撤销、Git 仍信任」的现象。
OpenSSL 通常读取一个 PEM 格式的 CA 包文件，如 /etc/ssl/cert.pem 或 Git 自带的 ca-bundle.crt。
Git 本身不实现 TLS，而是委托给底层 TLS 库（如 Secure Transport、OpenSSL 或 LibreSSL）。
开源基础设施的供应链风险在于PHP、OpenSSL、Log4j等核心组件被无数下游项目间接依赖，一处漏洞可能沿依赖链迅速放大。
系统级信任库（如ca-certificates.crt或cert.pem）不会自动同步浏览器的证书吊销更新，curl、git、Python、Perl、Ruby、OpenSSL等大量工具依赖这份文件
开源公共基础设施指被广泛依赖但往往由少数志愿者或小团队维护的开源项目，例如 OpenSSL、cURL、log4j 等。
OpenSSL 3.2+和BoringSSL已经提供了对混合密钥交换的相关支持。
签名步骤需要开发者在 Apple Developer 后台申请专用证书，并通过 OpenSSL 等工具完成
还有 6 条时间轴事件
全部知识事实 (20)
2014年的Heartbleed漏洞是OpenSSL加密库中存在了两年多的严重漏洞，影响了全球约17%的安全Web服务器
90%已验证Heartbleed 漏洞事件直接催生了 Linux 基金会旗下的 Core Infrastructure Initiative（现为 OpenSSF）
70%已验证2014年的Heartbleed漏洞（CVE-2014-0160）源于OpenSSL的TLS心跳扩展实现中的缓冲区过读错误，攻击者可每次读取服务器内存中最多64KB的数据
65%已验证Heartbleed漏洞在OpenSSL代码中存在了超过两年才被发现，直接催生了Core Infrastructure Initiative（CII，后演变为OpenSSF）的成立
65%待验证The 2014 Heartbleed vulnerability in OpenSSL exposed the dire funding situation of core open-source maintainers
85%待验证Heartbleed漏洞在OpenSSL代码库中潜伏约两年，glibc的GHOST漏洞(CVE-2015-0235)潜伏约14年
70%待验证在 2014 年 Heartbleed 漏洞爆出前，OpenSSL 核心维护者仅有一人，年度捐款不足两千美元
60%待验证OpenSSL默认不允许用户指定私钥，只接受随机生成的私钥，这被视为防止私钥被手动指定的最后一道防线。
50%待验证私有CA的常见实现包括基于OpenSSL/Vault的轻量CA、云厂商托管私有CA服务（如AWS Private CA、Azure Trusted Signing）以及企业PKI平台。
50%待验证如果 Git 链接的是 OpenSSL 且其 CA 包未随系统更新而刷新，就会出现「系统已撤销、Git 仍信任」的现象。
50%待验证Git 本身不实现 TLS，而是委托给底层 TLS 库（如 Secure Transport、OpenSSL 或 LibreSSL）。
50%待验证OpenSSL 通常读取一个 PEM 格式的 CA 包文件，如 /etc/ssl/cert.pem 或 Git 自带的 ca-bundle.crt。
50%待验证开源基础设施的供应链风险在于PHP、OpenSSL、Log4j等核心组件被无数下游项目间接依赖，一处漏洞可能沿依赖链迅速放大。
50%待验证系统级信任库（如ca-certificates.crt或cert.pem）不会自动同步浏览器的证书吊销更新，curl、git、Python、Perl、Ruby、OpenSSL等大量工具依赖这份文件
50%待验证开源公共基础设施指被广泛依赖但往往由少数志愿者或小团队维护的开源项目，例如 OpenSSL、cURL、log4j 等。
50%待验证OpenSSL 3.2+和BoringSSL已经提供了对混合密钥交换的相关支持。
50%待验证签名步骤需要开发者在 Apple Developer 后台申请专用证书，并通过 OpenSSL 等工具完成
50%待验证Linux、OpenSSL 等关键基础设施依靠开放审查建立起信任
50%待验证OpenSSL的Heartbleed漏洞和Log4j的Log4Shell漏洞暴露了关键开源项目维护资源不足的系统性问题
50%待验证Heartbleed事件曝光时OpenSSL项目核心全职维护者仅有一人Stephen Henson，项目年度捐赠收入不足2000美元
50%