WEB服务的安全漏洞

   

    随着网络的飞速发展，如今很多系统都是基于B/S的模式提供WEB服务，WEB系统很方便但也很危险，传输的数据很容易被截获，从而给用户造成损失，如果部署了SSL数字证书的话，在很大程度上能保证数据的安全，尤其是在传输过程中。

 

SSL(Secure Sockets Layer 安全套接层)其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。为Netscape所研发，用以保障在Internet上数据传输之安全，利用协商密钥和数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。目前安全要求采用128位或128位以上的加密套件，以前的40位或56位的加密套件很不安全，但是还有很多服务启用，强烈建议大家关闭掉。

 

SSL协议主要提供如下三个方面的服务：

    1．认证用户和服务器，确保数据发送到正确的客户机和服务器，防止钓鱼攻击；

    2．连接过程协商密钥加密数据以防止数据中途被窃取；

    3．维护数据的完整性，确保数据在传输过程中不被改变。

 

 

        早在几年前，国外发达国家对PKI和SSL就“炒”得很火，应该不叫“炒”，因为国外对安全这块确实很重视，据统计美国几乎每家网站都有部署SSL证书，就连上网也采用实名制；国内曾经也大力提倡PKI和SSL，可是没过多久就销声匿迹了，直到这几年随着网行和电子商务的兴起，才陆续将SSL重新推向舞台，经过我最近一段时间的测试发现国内95%以上的网站都没有部署SSL，就算已经部署了SSL证书的服务，也存在很多问题；鉴于国内安全意识薄弱的现状，在公司的大力支持下我研发出一个“SSL安全检测工具”能够对已部署了SSL证书的服务进行安全检测，让管理员能够发现服务器潜在的漏洞并有针对性的修补漏洞，保证服务安全。

 

部署SSL数字证书能使服务变得安全，但若不懂正确部署服务，就算部署了SSL证书也不能保证服务的安全；关于WEB服务安全分析主要有如下几个方面：

 

1.     SSL协议本身的安全

SSL协议已是国际标准，也有一个发展过程，在其自身发展的过程中暴露出一些不安因素，主要有两反面：

(1)    SSL v2.0是个不安全的协议，用户部署服务时必须关闭；

 

(2)    SSL 遗留的不安全的重新协商机制，必须关闭，并建议开启安全的重新协商机制，防止中间人攻击(MITM)；

 

两名美国安全专家Marsh Ray与Steve Dispensa于2009年9月份公开了他们发现的TLS/SSL协议的安全漏洞，攻击者可以利用这种漏洞劫持用户的浏览器，并伪装成合法用户。由于TLS协议中的密钥再协商功能使得验证服务器及客户机身份的一连串动作中存在前后不连贯的问题，因此便给了攻击者可乘之机。不仅如此，这种漏洞还给攻击者发起Https攻击提供了便利，Https协议是Http与TLS协议的集合体。发现这一漏洞之后，Ray和Dispensa很快将其报告给了网络安全产业联盟（ICASI)，该联盟由微软、诺基亚、思科、IBM、英特尔和Juniper创立。同时他们还将其报告给了互联网工程任务组（IETF）以及几家开源的SSL项目组织。9月29日，这些团体经过讨论后决定推出一项名为Mogul的计划，该计划将负责修补这个漏洞，计划的首要任务是尽快推出新的协议扩展版，以修复该漏洞。

 

2.    加密套件的安全性

 

                   破解40位 DES 算法只需几秒钟，而 50 位 DES 算法也只需几天时间，但破解 128 位 3DES 算法则需要 0.25 个 10 的 21 次方年才能破解，所以，Web服务器软件必须只能支持128位以上的加密套件，而关闭不安全的40位和56位加密套件。

        

3.      根证书安全性

 

根证书的安全性主要有两点：

(1). 根证书通常是预埋在操作系统中的，当用户用浏览器访问服务时，浏览器会自动验证服务的身份，对用户是透明的，验证过程不需用户做任何操作；倘若服务器部署的是自签的SSL证书，那么在认证多程中会提示非法警告，作为自签证书不存在第三方的验证，身份无法确定，如果用户选择继续访问很容易受钓鱼中间攻击，这样做是很危险的，根本无法保证服务安全，建议购买系统可信任的SSL数字证书；

 

(2). 随着计算机的发展破解技术也在提高，以前的根证书（1024位）密钥强度逐渐变得不安全了，现在绝大多数证书的顶级根都是2048位或大于2048位，建议购买2048位以上的根证书办法的数字证书。

 

 

 

(鄙人文笔差，平时很少写文章，请大家多多指教）