- 引子
本文讲的是OpenSSL CVE-2016-0800和CVE-2016-0703漏洞修复细节拾趣,本来最近和360 Nirvan Team的DQ430愉快的参加某加密厂商的年度大会,结果openssl也出来碰热闹,也许真是为了DH兄弟送大礼,苦了我们这些安全运维的。
感谢Shawn的指点!
hf!
- 细节
360在内部信息安全实践历程中,“360信息安全部”逐步秉承最佳安全实践,在https等ssl领域逐渐做出了明显的变化。比如重要系统中禁止不安全的加密套件使用,来减少ssl的攻击面。
我们在今天的内部运维修复中发现了个有趣的现象或者说尝试,我们想去确定禁止不安全的加密套件会对今天的两个高危漏洞有什么影响。
CVE-2016-0800
CVE-2016-0703
0800漏洞官方已经描述了如果是cipher none的话,能保证是不受影响的,或者说这是一个缓解措施。
但是0703就不一样了,我们花了几个小时尝试去证明如果cipher none的话确实也是不受影响的。
0703过程大略如下:
client:
send hello msg ( 包括 ciphers,和一个随机数 cr )
server:
send hello msg ( 包括 ciphers,和一个随机数 sr )
client