SSL是否被攻破？
既是也不是。所谓“是”指攻击者在特定条件下可解密SSL加密流量；“不是”则因为存在显著缓解因素使攻击难以实现。Windows操作系统默认启用SSL 3.0和TLS 1.0。
更新内容
该更新修改了Windows安全通道（SChannel）组件收发加密网络数据包的方式，修复了WinHTTP漏洞并支持全系统启用防护。但用户需同时安装MS12-006和IE累积安全更新MS11-099（编号2618444）才能防御基于浏览器的攻击向量。
攻击向量
漏洞允许攻击者解密SSL 3.0/TLS 1.0加密流量。虽然受影响的是Windows组件，但主要攻击向量是通过HTTPS协议拦截敏感信息（如HTTPS会话cookie）。
缓解措施
当前研究表明以下因素可阻碍已知攻击向量：
- 需中间人主动攻击HTTPS会话，仅观察加密流量不足够；
- 攻击者需在用户浏览器会话中注入并运行恶意代码；
- 恶意代码需被视作与HTTPS服务器同源才能劫持现有连接，通常需利用其他漏洞绕过浏览器同源策略。
若用户关闭所有HTTP页和不可信HTTPS页，在新会话中访问可信HTTPS站点（如hotmail登录页），并在浏览其他站点前注销，则不会遭受此攻击。
解决方案
服务器管理员建议：优先使用RC4而非CBC密码套件（因攻击仅影响CBC）。Windows客户端均支持RC4（除非启用FIPS配置）。可通过组策略将TLS_RSA_WITH_RC4_128_SHA设为最高优先级（适用于Vista及Server 2008以上系统）。
启用TLS 1.1：建议客户端和服务器端同时启用TLS 1.1（默认禁用）。若双方均启用，HTTPS流量将使用TLS 1.1而非SSL 3.0/TLS 1.0，从而免疫此类攻击。Windows 7和Server 2008 R2支持TLS 1.1。
自动化修复工具
Microsoft发布多项FixIt工具：
- 启用TLS 1.1：
- 客户端（IE及WinINET应用）：[点击此处]
- 服务器端：[点击此处]
- 回滚配置：可通过http://support.microsoft.com/kb/2588513禁用FixIt变更
- 临时禁用安全更新（兼容性问题排查）：[点击此处]
- 重新启用更新：[点击此处]
为何默认禁用TLS 1.1？
主要因兼容性问题。需更多服务器正确实现HTTPS协议后，方可在未来IE版本中默认启用。Microsoft将推动行业广泛采用TLS 1.1/1.2。