Нисфи сайтҳо
/Flickr/
ПУДЛ
Бори аввал дар бораи ҳамла
Моҳияти он чунин аст: ҳакер муштариро маҷбур мекунад, ки тавассути SSL 3.0 пайваст шавад, ки ба вайроншавии пайвастшавӣ тақлид мекунад. Он гоҳ он дар рамзгузорӣ ҷустуҷӯ мекунад
SSL 3.0 протоколи кӯҳна аст. Аммо масъалаи бехатарии ӯ ҳанӯз ҳам муҳим аст. Мизоҷон онро барои пешгирӣ кардани мушкилоти мутобиқат бо серверҳо истифода мебаранд. Тибқи баъзе маълумот, тақрибан 7% аз 100 ҳазор сайтҳои маъмултарин
Чӣ тавр худро муҳофизат кунед. Дар мавриди POODLE-и аслӣ, шумо бояд дастгирии SSL 3.0-ро хомӯш кунед. Аммо, дар ин ҳолат хатари мушкилоти мутобиқат вуҷуд дорад. Як ҳалли алтернативӣ метавонад механизми TLS_FALLBACK_SCSV бошад - он кафолат медиҳад, ки мубодилаи маълумот тавассути SSL 3.0 танҳо бо системаҳои кӯҳна анҷом дода мешавад. Ҳамлагарон дигар наметавонанд паст кардани сатҳи протоколро оғоз кунанд. Роҳи муҳофизат аз Zombie POODLE ва GOLDENDOODLE ин хомӯш кардани дастгирии CBC дар замимаҳои бар TLS 1.2 аст. Ҳалли асосӣ ин гузариш ба TLS 1.3 хоҳад буд - версияи нави протокол рамзгузории CBC-ро истифода намебарад. Ба ҷои ин, AES ва ChaCha20 устувортар истифода мешаванд.
БЕШТАР
Яке аз аввалин ҳамлаҳо ба SSL ва TLS 1.0, ки соли 2011 кашф шудааст. Мисли ПУДЛ, BEAST
То имрӯз, осебпазирии BEAST боқӣ мемонад
Чӣ тавр худро муҳофизат кунед. Ба ҳамлакунанда лозим аст, ки дархостҳои мунтазамро барои рамзкушоӣ кардани маълумот фиристад. Дар VMware
ГАРҚ КАРДАН
Ин як ҳамлаи байнипротоколӣ мебошад, ки хатогиҳоро дар татбиқи SSLv2 бо калидҳои 40-битии RSA истифода мебарад. Ҳамлагар садҳо пайвастҳои TLS-и ҳадафро гӯш мекунад ва бо истифода аз ҳамон калиди хусусӣ бастаҳои махсусро ба сервери SSLv2 мефиристад. Истифодаи
DROWN бори аввал соли 2016 маълум шуд - баъд маълум шуд
Чӣ тавр худро муҳофизат кунед. Барои насб кардани часпакҳое, ки аз ҷониби таҳиягарони китобхонаҳои криптографӣ пешниҳод шудаанд, ки дастгирии SSLv2-ро хомӯш кардан лозим аст. Масалан, барои OpenSSL ду чунин часпак пешниҳод карда шуд (дар соли 2016
"Манбаъ метавонад ба DROWN осебпазир бошад, агар калидҳои он аз ҷониби сервери тарафи сеюм бо SSLv2, ба монанди сервери почта истифода шаванд", қайд мекунад роҳбари шӯъбаи рушд.
Провайдери IaaS 1cloud.ru Сергей Белкин. — Ин ҳолат дар сурате рух медиҳад, ки якчанд серверҳо сертификати умумии SSL-ро истифода баранд. Дар ин ҳолат, шумо бояд дастгирии SSLv2-ро дар ҳама мошинҳо хомӯш кунед."
Шумо метавонед тафтиш кунед, ки оё системаи шумо бояд бо истифода аз барномаи махсус навсозӣ шавад
Хун
Яке аз бузургтарин осебпазирӣ дар нармафзор аст
Ҳамла тавассути модули васеъкунии хурди Heartbeat TLS амалӣ карда мешавад. Протоколи TLS талаб мекунад, ки маълумот пайваста интиқол дода шавад. Дар сурати дурудароз бекор истодан, танаффус ба амал меояд ва пайвастшавиро аз нав баркарор кардан лозим меояд. Барои ҳалли мушкилот серверҳо ва мизоҷон каналро ба таври сунъӣ «сағ» мекунанд (
Ин осебпазирӣ дар ҳама версияҳои китобхона дар байни 1.0.1 ва 1.0.1f, инчунин дар як қатор системаҳои оператсионӣ мавҷуд буд - Ubuntu то 12.04.4, CentOS аз 6.5 калонтар, OpenBSD 5.3 ва ғайра. Рӯйхати пурра вуҷуд дорад
Чӣ тавр худро муҳофизат кунед. Ин зарур аст
Иваз кардани сертификат
Дар байни корбар ва сервер гиреҳи идорашаванда бо сертификати қонунии SSL насб карда мешавад, ки трафикро фаъол мекунад. Ин гиреҳ тавассути пешниҳоди шаҳодатномаи дуруст ба сервери қонунӣ тақлид мекунад ва имкони анҷом додани ҳамлаи MITM мегардад.
Мувофиқи маълумот
Чӣ тавр худро муҳофизат кунед. Аз хидматҳои боэътимод истифода баред
Усули дигари муҳофизат як нав хоҳад буд
/Flickr/
Дурнамои HTTPS
Сарфи назар аз як қатор осебпазириҳо, бузургони IT ва коршиносони амнияти иттилоотӣ ба ояндаи протокол итминон доранд. Барои татбиқи фаъоли HTTPS
Ҳамчунин таҳияи технологияи SSL/TLS бо истифода аз омӯзиши мошинсозӣ ба нақша гирифта шудааст - алгоритмҳои интеллектуалӣ барои филтр кардани трафики зараровар масъул хоҳанд буд. Бо пайвастҳои HTTPS, маъмурон ҳеҷ роҳе барои дарёфти мундариҷаи паёмҳои рамзгузоришуда, аз ҷумла ошкор кардани дархостҳо аз нармафзори зараровар надоранд. Аллакай имрӯз шабакаҳои нейрон қодиранд бастаҳои эҳтимолан хатарнокро бо дақиқии 90% филтр кунанд. (
натиҷаҳои
Аксари ҳамлаҳо ба HTTPS на бо мушкилот бо худи протокол, балки барои дастгирии механизмҳои рамзгузории кӯҳна алоқаманданд. Саноати IT тадриҷан даст кашидан аз протоколҳои насли қаблиро оғоз мекунад ва воситаҳои навро барои ҷустуҷӯи осебпазирӣ пешниҳод мекунад. Дар оянда ин асбобҳо торафт бештар интеллектуалӣ хоҳанд шуд.
Истинодҳои иловагӣ дар мавзӯъ:
Рушд дар абр, амнияти иттилоотӣ ва маълумоти шахсӣ: ҳаҷм аз 1cloud Ҳаҷми SSL: Беҳтарин маводҳои амалӣ дар бораи Habré ва ғайра Диҷести VPN: Мақолаҳои муқаддимавӣ дар бораи Habré ва ғайра
Манбаъ: will.com