[预警]openssl再爆漏洞了,官方建议禁用SSLv2

1.Drown漏洞是什么?

DROWN出了一个严重的漏洞影响HTTPS和其他依赖SSL和TLS的服务,SSL和TLS协议保证用户上网冲浪,购物,即时通信而不被第三方读取到。

DROWN允许攻击者破坏这个加密体系,读取或偷取敏感通信,包括密码,信用卡帐号,商业机密,金融数据等。经过我们的探测识别,大概有33%的HTTPS服务容易受此漏洞的影响。

2.我的站点受到影响吗?

现在流行的服务器和客户端使用TLS加密,然而,由于错误配置,许多服务器仍然支持SSLv2,这是一种古老的协议,实践中许多客户端已经不支持使用SSLv2。

DROWN攻击威胁到还在支持SSLv2的服务端和客户端,他允许攻击者通过发送probe到支持SSLv2的使用相同密钥的服务端和客户端解密TLS通信。

[预警]openssl再爆漏洞了,官方建议禁用SSLv2

允许SSLv2连接,比想象中的要常见,由于错误配置和不当的默认配置,我们调查17%的HTTPS服务器一直支持SSLV2连接

私钥被使用于其他支持SSLv2连接的服务,许多公司不允许使用相同的证书和私钥在他的WEB和EMAI服务,例如,下面这个案例,如果email服务支持sslv2,但是web服务不支持,攻击者能够利用EMAIL服务的sslv2漏洞切断到web服务器的tls的连接。

[预警]openssl再爆漏洞了,官方建议禁用SSLv2

可以通过 https://test.drownattack.com/?site=你的站点来查看是否受影响

[预警]openssl再爆漏洞了,官方建议禁用SSLv2

3.怎么保护我自己?

确保你的私钥不适用于其他的支持sslv2服务,包括web,smtp,imap,pop服务等。禁止服务器端的sslv2支持。如果是Openssl,可以参考安装最新的补丁和操作辅导。 https://www.openssl.org/blog/blog/2016/03/01/an-openssl-users-guide-to-drown/

Microsoft IIS (Windows Server):iis 7和以上的版本默认已经禁止了sslv2。

详细的漏洞描述原理报告 https://drownattack.com/drown-attack-paper.pdf

4、影响

大部分支持 SSLv2的服务器均会受到该漏洞影响!

稍后360安全技术团队会对此进行技术分析,360安全播报会持续跟进这个事件,大家请保持关注。

本文由 360安全播报 原创发布,如需转载请注明来源及本文地址。本文地址:http://bobao.360.cn/news/detail/2787.html

原文  http://bobao.360.cn/news/detail/2787.html

本站部分文章源于互联网,本着传播知识、有益学习和研究的目的进行的转载,为网友免费提供。如有著作权人或出版方提出异议,本站将立即删除。如果您对文章转载有任何疑问请告之我们,以便我们及时纠正。

PS:推荐一个微信公众号: askHarries 或者qq群:474807195,里面会分享一些资深架构师录制的视频录像:有Spring,MyBatis,Netty源码分析,高并发、高性能、分布式、微服务架构的原理,JVM性能优化这些成为架构师必备的知识体系。还能领取免费的学习资源,目前受益良多

转载请注明原文出处:Harries Blog™ » [预警]openssl再爆漏洞了,官方建议禁用SSLv2

赞 (0)
分享到:更多 ()

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址