常见的几种SSL/TLS漏洞及攻击方式

最新推荐文章于 2024-05-30 07:38:07 发布
最新推荐文章于 2024-05-30 07:38:07 发布
阅读量4.1k 收藏 13
点赞数 1
文章标签： 数据库 操作系统 运维
原文链接：https://segmentfault.com/a/1190000012731888
版权

原文阅读：https://www.infinisign.com/fa...

迄今为止，SSL/TLS已经阻止了基于SSL的无数次的网络攻击，本文介绍了SSL/TLS常见的几种漏洞以及过往的攻击方式，针对这些漏洞及攻击摒弃了老旧的加密算法，详细如下：

图片描述

Export 加密算法

Export是一种老旧的弱加密算法，是被美国法律标示为可出口的加密算法，其限制对称加密最大强度位数为40位，限制密钥交换强度为最大512位。这是一个现今被强制丢弃的算法。

Downgrade（降级攻击）

降级攻击是一种对计算机系统或者通信协议的攻击，在降级攻击中，攻击者故意使系统放弃新式、安全性高的工作方式，反而使用为向下兼容而准备的老式、安全性差的工作方式，降级攻击常被用于中间人攻击，讲加密的通信协议安全性大幅削弱，得以进行原本不可能做到的攻击。 在现代的回退防御中，使用单独的信号套件来指示自愿降级行为，需要理解该信号并支持更高协议版本的服务器来终止协商，该套件是TLS_FALLBACK_SCSV(0x5600)

MITM（中间人攻击）

MITM(

最低0.47元/天 解锁文章
weixin_33755557
关注
  • 1
    点赞
  • 踩
  • 13
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
TLS1.0、1.1、1.2、1.3
08-13
RFC文档, 安全传输层协议（TLS）用于在两个通信应用程序之间提供保密性和数据完整性。该协议由两层组成： TLS 记录协议（TLS Record）和 TLS 握手协议（TLS Handshake）。
HTTPS系列笔记记录（一）：HTTPS 和SSL/TLS协议原理详解
_William_Cheung的博客
09-08 1559
前言： HTTPS（也称为HTTP over Transport Layer Security（TLS）， HTTP over SSL，和HTTP Secure）是一种通过计算机网络进 行安全通信的通信协议，广泛应用于互联网，比喻Google,百度......。简单的来说HTTPS是HTTP的升级安全版。 作用： HTTPS提供了与正在通信的网站和相关联的Web服务器的身份
k8s安全测评漏洞：SSL-TLS协议信息泄露漏洞(CVE-2016-2183)
最新发布
dzqxwzoe的博客
05-30 1902
扫描结果重点关注warnings，64-bit block cipher 3DES vulnerable to SWEET32。k8s组件使用了IDEA、DES和3DES等算法，修改配置文件禁用上述算法即可。增加后kube-apiserver漏洞即修复成功。attack，漏洞修复成功则没有该项提示。可以看到没有了warnings这项了。可以看到没有了warnings这项了。可以看到没有了warnings这项了。可以看到没有了warnings这项了。增加后etcd漏洞即修复成功。只需要修复最后一项即可。
服务器支持低版本SSL/TLS协议 支持SSL弱密码套件
weixin_45596492的博客
03-24 6963
服务器支持低版本SSL/TLS协议 漏洞描述 在测试中发现服务器支持低版本的 TLS1.0和 TLS1.1协议，这些协议存在公开的漏洞建议，应该禁止使用。 漏洞影响 TLS 1.0和 TLS 1.1可能会受到FREAK、POODLE、BEAST和CRIME等漏洞的影响。 关于漏洞的详情可以查看： https://www.acunetix.com/blog/articles/tls-vulnerabilities-attacks-final-part/ 修复建议 可参考如下链接进行配置：
详述SSL和TLS的Web安全渗透测试
收集盒 Book box
11-26 3694
如果Web服务中的SSL和TLS协议出现安全问题，后果会如何？很明显，这样的话攻击者就可以拥有你所有的安全信息，包括我们的用户名、密码、信用卡、银行信息……所有的一切。本文将向读者详细介绍如何针对Web服务中的SSL和TLS协议进行安全渗透测试。我们首先对这两种协议进行了概述，然后详细介绍了针对加密信道安全性的黑盒测试和白盒测试。最后列出了一些常用的安全测试工具。 一、简介 目前，许多
DROWN漏洞
努力努力再努力！！！
11-05 1682
转载：http://ssl.zzidc.com/chanpinzixun/2016/0304/358.html 1.什么是DROWN漏洞？ "DROWN"全称是 Decrypting RSA with Obsolete and Weakened eNcryption，是指"利用过时的脆弱加密算法来对RSA算法进破解"，主要针对SSLv2协议漏洞来对TLS进行跨协议攻击。       "DROW...
深入理解SSL-TLS
03-31
SSL（Secure Sockets Layer）和TLS（Transport Layer Security）是网络安全领域中用于保障网络通信安全的两种协议。它们主要用于加密互联网上的数据传输，确保信息在发送方和接收方之间不被窃取或篡改。SSL最初由...
29-SSL安全问题及漏洞1
08-03
SSL的安全性主要体现在以下几个方面： 1. **身份认证**：SSL通过数字证书对服务器进行身份验证，确保用户连接到的是预期的服务器，而不是中间人攻击者。这需要一个受信任的第三方机构，即证书颁发机构（CA），来...
testssl.sh:在任何端口上的任何地方测试TLSSSL加密
04-06
介绍 testssl.sh是一个免费的命令行工具，可以检查任何端口上服务器的服务是否支持TLS / SSL密码，协议以及某些加密漏洞。主要特征清晰的输出：您可以轻松分辨出任何东西是好是坏。 机器可读的输出（CSV，两种JSON...
安卓应用常见的几种应对恶意攻击的解决方案.docx
10-26
同时，应定期更新SSL/TLS库，修补已知漏洞。 4. **安全编码与测试**：在开发过程中遵循安全编码规范，进行代码审查和渗透测试，及时发现并修复潜在的安全问题。 5. **SDK安全管理**：第三方SDK可能引入安全风险，...
ssl测试testssl
09-13
SSL（Secure Sockets Layer）和TLS（Transport Layer Security）是网络安全领域中用于保障数据传输安全的两种协议。它们为互联网上的通信提供了加密处理，确保了数据的私密性、完整性和用户身份的真实性。在进行SSL/...
【漏洞修复】TLS protocol中间人攻击漏洞(CVE-2015-4000) 升级ssl
11-10 1万+
TLS协议1.2及之前版本中存在安全漏洞。当服务器启用DHE_EXPORT密码套件时，程序未能正确传递DHE_EXPORT选项。攻击者可通过重写ClientHello（使用DHE_EXPORT取代DHE），然后重写ServerHello（使用DHE取代DHE_EXPORT），利用该漏洞实施中间人攻击和cipher-downgrade攻击。TLS（Transport Layer Security，安全传输层协议）是一套用于在两个通信应用程序之间提供保密性和数据完整性的协议。
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)【原理扫描】处理
热门推荐
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
12-30 21万+
概述 SSL/TLS协议信息泄露漏洞(CVE-2016-2183)漏洞： TLS, SSH, IPSec协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。 风险级别：低 该漏洞又称为SWEET32（https://sweet32.info）是对较旧的分组密码算法的攻击，它使用64位的块大小，缓解SWEET32攻击OpenSSL 1.0.1和OpenSSL 1.0.2中基于DES密码套件从“高”密码字符串组移至“中”；但Op
TLS/SSl相关的攻击漏洞及检测方法大杂烩！
SoulCat
05-31 1万+
TLS/SSl攻击漏洞及检测大全 曾以为爱可以排除万难,可万难过后,又有万难。 漏洞介绍： TLS/SSL介绍： SSL“安全套接层”协议，TLS“安全传输层”协议，都属于是加密协议，在其网络数据传输中起到保护隐私和数据的完整性。保证该网络传输的信息不会被未经授权的元素拦截或修改，从而确保只有合法的发送者和接收者才能完全访问并传输信息。 TLS/SSL主要漏洞介绍： 1、 OpenSSL C...
三步应对OpenSSL新型漏洞DROWN
weixin_34250434的博客
03-03 462
OpenSSL爆出新型安全漏洞，“DROWN”全称是 Decrypting RSA with Obsolete and Weakened eNcryption，即“利用过时的脆弱加密算法来对RSA算法进破解”，指利用SSLv2协议漏洞来对TLS进行跨协议攻击。该漏洞将对SSL协议造成安全威胁，攻击者有可能利用这个漏洞对https站点进行攻...
openssl升级_CVE-2020-1967：OpenSSL拒绝服务漏洞警报
weixin_39926639的博客
12-06 303
最近，openssl正式发布了TLS 1.3组件拒绝服务漏洞的风险通知，漏洞编号为CVE-2020-1967，且漏洞级别为高风险。OpenSSL是用于应用程序的软件库，可保护计算机网络上的通信免遭窃听或需要识别另一方的身份。它被Internet服务器广泛使用，包括大多数HTTPS网站。 TLS（传输层安全性）是一种安全协议，其目的是为Internet通信提供安全性和数据完整性保证。该协议在浏览器，...
CVE10大漏洞总结【网络安全】
heikeyouyou的博客
05-19 3049
网络安全之cve十大漏洞总结
SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
qq_42947816的博客
02-08 2万+
法国国家信息与自动化研究所（French Institute for Research in Computer Science and Automation，INRIA）的两名科学家发布了一项新研究，这是一种针对64位分组密码算法的生日攻击，其详细阐述了一种攻击手法—从用64位密码加密的TLS（HTTPS）流量恢复数据。
ssl证书弱加密算法漏洞
04-25
SSL证书弱加密算法漏洞是指在使用SSL/TLS协议进行通信时，使用了弱加密算法或者加密算法配置不当导致的安全漏洞。这些弱加密算法可能会被攻击者轻易破解，从而获取到通信中的敏感信息。 常见的SSL证书弱加密算法漏洞包括以下几种： 1. RSA密钥长度过短：RSA是一种非对称加密算法，使用了公钥和私钥进行加密和解密。如果使用的RSA密钥长度过短（比如512位），则存在被暴力破解的风险。 2. 使用过时的SSL/TLS版本：旧版本的SSL/TLS协议存在安全漏洞，容易受到中间人攻击或者数据篡改。建议使用较新的SSL/TLS版本，如TLS 1.2或TLS 1.3。 3. 弱密码套件：SSL/TLS协议支持多种加密算法和密钥交换算法，但有些算法已经被证实不安全。如果服务器配置了弱密码套件，攻击者可以选择弱算法进行攻击。 4. 未正确验证证书：客户端在建立SSL/TLS连接时应该对服务器的证书进行验证，以确保连接的安全性。如果客户端未正确验证证书，攻击者可以使用伪造的证书进行中间人攻击。 为了防止SSL证书弱加密算法漏洞的发生，可以采取以下措施： 1. 使用较长的RSA密钥长度，推荐使用2048位或以上的密钥长度。 2. 配置服务器只支持较新的SSL/TLS版本，禁用旧版本的协议。 3. 禁用弱密码套件，只支持安全的加密算法和密钥交换算法。 4. 在建立SSL/TLS连接时，确保正确验证服务器的证书，可以使用受信任的证书机构颁发的证书。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值