ግማሽ ጣቢያዎች
/ፍሊከር/
ነጥብ
ስለ ጥቃቱ ለመጀመሪያ ጊዜ
ዋናው ነገር የሚከተለው ነው፡ ጠላፊው የግንኙነት ክፍተቶችን በመምሰል ደንበኛው በSSL 3.0 እንዲገናኝ ያስገድደዋል። ከዚያም ኢንክሪፕት የተደረገው ውስጥ ይፈለጋል
SSL 3.0 ጊዜው ያለፈበት ፕሮቶኮል ነው። ነገር ግን የእሱ ደህንነት ጥያቄ አሁንም ጠቃሚ ነው. ደንበኞች ከአገልጋዮች ጋር የተኳሃኝነት ችግሮችን ለማስወገድ ይጠቀሙበታል። አንዳንድ መረጃዎች እንደሚያሳዩት ከ7ሺህ በጣም ታዋቂ ጣቢያዎች 100% ማለት ይቻላል።
እራስዎን እንዴት እንደሚከላከሉ. በዋናው POODLE ሁኔታ፣ SSL 3.0 ድጋፍን ማሰናከል አለብዎት። ነገር ግን, በዚህ ሁኔታ ውስጥ የተኳሃኝነት ችግሮች ስጋት አለ. አማራጭ መፍትሔ የTLS_FALLBACK_SCSV ዘዴ ሊሆን ይችላል - በSSL 3.0 የውሂብ ልውውጥ የሚከናወነው በአሮጌ ስርዓቶች ብቻ መሆኑን ያረጋግጣል። አጥቂዎች ከአሁን በኋላ የፕሮቶኮል ማሻሻያዎችን መጀመር አይችሉም። ከዞምቢ POODLE እና GOLDENDOODLE የሚከላከሉበት መንገድ የCBC ድጋፍን በTLS 1.2 ላይ በተመሰረቱ መተግበሪያዎች ማሰናከል ነው። ካርዲናል መፍትሄ ወደ TLS 1.3 ሽግግር ይሆናል - አዲሱ የፕሮቶኮሉ ስሪት የ CBC ምስጠራን አይጠቀምም. በምትኩ፣ የበለጠ ዘላቂ AES እና ChaCha20 ጥቅም ላይ ይውላሉ።
ባሻገር
በSSL እና TLS 1.0 ላይ ከመጀመሪያዎቹ ጥቃቶች አንዱ፣ በ2011 የተገኘ። እንደ POODLE፣ BEAST
ከዛሬ ጀምሮ፣ BEAST ተጋላጭነቶች ይቀራሉ
እራስዎን እንዴት እንደሚከላከሉ. አጥቂው ውሂቡን ለመፍታት መደበኛ ጥያቄዎችን መላክ አለበት። በ VMware ውስጥ
ሰምጦ
ይህ SSLv2ን ከ40-ቢት RSA ቁልፎች ጋር በመተግበር ላይ ያሉ ስህተቶችን የሚጠቀም የፕሮቶኮል ጥቃት ነው። አጥቂው የታለመውን በመቶዎች የሚቆጠሩ የTLS ግንኙነቶችን ያዳምጣል እና ልዩ ፓኬቶችን ወደ SSLv2 አገልጋይ ይልካል። በመጠቀም
DROWN ለመጀመሪያ ጊዜ በ 2016 ታወቀ - ከዚያ በኋላ ሆነ
እራስዎን እንዴት እንደሚከላከሉ. የ SSLv2 ድጋፍን የሚያሰናክሉ የምስጠራ ቤተ-መጽሐፍት አዘጋጆች ያቀረቡትን ፕላስተሮችን መጫን አስፈላጊ ነው። ለምሳሌ፣ ሁለት እንደዚህ ያሉ ጥገናዎች ለOpenSSL ቀርበዋል (በ2016
የልማት ዲፓርትመንቱ ኃላፊ “ሀብቱ ቁልፎቹን SSLv2 ባለው የሶስተኛ ወገን አገልጋይ ለምሳሌ እንደ መልእክት አገልጋይ ከተጠቀሙ ለ DROWN ተጋላጭ ሊሆን ይችላል” ብለዋል ።
IaaS አቅራቢ 1cloud.ru ሰርጌይ ቤልኪን. - ይህ ሁኔታ የሚከሰተው ብዙ አገልጋዮች የጋራ SSL ሰርተፍኬት የሚጠቀሙ ከሆነ ነው። በዚህ አጋጣሚ በሁሉም ማሽኖች ላይ የSSLv2 ድጋፍን ማሰናከል አለቦት።
ልዩ በመጠቀም ስርዓትዎ መዘመን እንዳለበት ማረጋገጥ ይችላሉ።
ልብ ወለድ
በሶፍትዌር ውስጥ ካሉት ትልቁ ተጋላጭነቶች አንዱ ነው።
ጥቃቱ የሚተገበረው በትናንሽ Heartbeat TLS ቅጥያ ሞጁል ነው። የTLS ፕሮቶኮል ውሂብ ያለማቋረጥ እንዲተላለፍ ይፈልጋል። ረዘም ላለ ጊዜ የእረፍት ጊዜ ካለ, መቋረጥ ይከሰታል እና ግንኙነቱ እንደገና መመስረት አለበት. ችግሩን ለመቋቋም አገልጋዮች እና ደንበኞች በሰው ሰራሽ መንገድ ሰርጡን "ይጮኻሉ" (
ተጋላጭነቱ በሁሉም የቤተ መፃህፍት ስሪቶች በ1.0.1 እና 1.0.1f መካከል እንዲሁም በተለያዩ ስርዓተ ክወናዎች - ኡቡንቱ እስከ 12.04.4፣ ከ6.5 በላይ የቆየ CentOS፣ OpenBSD 5.3 እና ሌሎችም ነበር። ሙሉ ዝርዝር አለ
እራስዎን እንዴት እንደሚከላከሉ. አስፈላጊ ነው
የምስክር ወረቀት መተካት
ህጋዊ የሆነ SSL ሰርተፍኬት ያለው የሚተዳደረው መስቀለኛ መንገድ በተጠቃሚው እና በአገልጋዩ መካከል ተጭኗል፣ ትራፊክን በንቃት ይቋረጣል። ይህ መስቀለኛ መንገድ ትክክለኛ ሰርተፊኬት በማቅረብ ህጋዊ አገልጋይን ያስመስላል፣ እና የ MITM ጥቃትን ለመፈጸም ይቻል ይሆናል።
እንደ
እራስዎን እንዴት እንደሚከላከሉ. አስተማማኝ አገልግሎቶችን ይጠቀሙ
ሌላው የመከላከያ ዘዴ አዲስ ይሆናል
/ፍሊከር/
የኤችቲቲፒኤስ ተስፋዎች
በርካታ ተጋላጭነቶች ቢኖሩም፣ የአይቲ ግዙፍ ኩባንያዎች እና የመረጃ ደህንነት ባለሙያዎች ስለ ፕሮቶኮሉ የወደፊት እርግጠኞች ናቸው። ለ HTTPS ንቁ ትግበራ
እንዲሁም የማሽን መማሪያን በመጠቀም የSSL/TLS ቴክኖሎጂን ለማዳበር ታቅዷል - ብልጥ ስልተ ቀመሮች ጎጂ ትራፊክን የማጣራት ሃላፊነት አለባቸው። በኤችቲቲፒኤስ ግንኙነቶች፣ አስተዳዳሪዎች የማልዌር ጥያቄዎችን ፈልጎ ማግኘትን ጨምሮ የተመሰጠሩ መልዕክቶችን ይዘት ለማወቅ ምንም መንገድ የላቸውም። ቀድሞውኑ ዛሬ, የነርቭ ኔትወርኮች አደገኛ ሊሆኑ የሚችሉ እሽጎችን በ 90% ትክክለኛነት የማጣራት ችሎታ አላቸው. (
ግኝቶች
በኤችቲቲፒኤስ ላይ የሚደረጉ አብዛኛዎቹ ጥቃቶች ከፕሮቶኮሉ ጋር ከተያያዙ ችግሮች ጋር የተገናኙ አይደሉም፣ ነገር ግን ጊዜ ያለፈባቸው የኢንክሪፕሽን ዘዴዎችን ለመደገፍ ነው። የአይቲ ኢንዱስትሪው የቀደመውን ትውልድ ፕሮቶኮሎች ቀስ በቀስ በመተው እና ተጋላጭነትን ለመፈለግ አዳዲስ መሳሪያዎችን ማቅረብ ጀምሯል። ለወደፊቱ, እነዚህ መሳሪያዎች የበለጠ ብልህ ይሆናሉ.
በርዕሱ ላይ ተጨማሪ አገናኞች፡-
በደመና ውስጥ ልማት, የመረጃ ደህንነት እና የግል ውሂብ: ከ 1cloud መፈጨት የኤስ ኤስ ኤል መፍጨት፡ በሀብሬ ላይ ያሉ ምርጥ ተግባራዊ ቁሶች እና ሌሎችም። የቪፒኤን መፍጨት፡ ስለ Habré እና ሌሎችም የመግቢያ መጣጥፎች
ምንጭ: hab.com