OpenSSL安全更新不需要Node.js安全更新
内容提要
2019年9月10日的OpenSSL安全更新对Node.js没有影响，Node.js不受ECDSA远程时间攻击、Fork保护和PKCS7数据解码等漏洞影响。OpenSSL更新将作为常规更新发布。
延伸解读
Node.js 为何不受影响
Node.js 对 OpenSSL 安全公告的评估显示，其不受三个漏洞影响。对于 ECDSA 远程时间攻击，Node 仅支持命名曲线进行 ECDSA 签名；对于 Fork 保护问题，Node 在 fork() 后总是调用 exec()，不会复制 PRNG 状态；对于 PKCS7 和 CMS 的填充预言攻击，Node 根本不支持这些功能。因此，这些漏洞在 Node.js 中不存在利用条件。
更新策略与用户影响
由于 Node.js 不受影响，OpenSSL 的更新将被视为非安全补丁更新，并随定期更新发布到受支持的发布线。这意味着 Node.js 用户无需为此紧急采取行动，只需关注常规更新即可。这种处理方式避免了不必要的安全警报，同时确保底层依赖保持最新。
安全评估的价值
Node.js 团队对 OpenSSL 安全公告进行了快速分析，并公开评估结果。这有助于用户理解漏洞的实际影响范围，避免盲目恐慌。同时，团队鼓励通过官方渠道报告漏洞，并建议订阅 nodejs-sec 邮件列表以获取安全更新信息。这种透明沟通增强了生态系统的安全性。
Q&A
OpenSSL的安全更新对Node.js有什么影响吗？
OpenSSL的安全更新对Node.js没有影响。
Node.js是否受到ECDSA远程时间攻击的影响？
Node.js不受ECDSA远程时间攻击（CVE-2019-1547）的影响，因为它只支持命名曲线进行ECDSA签名。
Node.js如何处理fork()后的进程？
Node.js在fork()后总是调用exec()，因此不会在fork的进程中复制PRNG状态。
Node.js是否支持PKCS7和CMS？
Node.js不支持PKCS7和CMS，因此不受相关漏洞（CVE-2019-1563）的影响。
OpenSSL更新将如何发布？
OpenSSL更新将被视为非安全补丁更新，并将在定期更新中发布。
如何获取Node.js的安全政策和漏洞报告信息？
Node.js的安全政策和漏洞报告信息可以在其GitHub页面找到。
