對于安全加密通信,傳輸層安全協(xié)議(SSL/TLS)的重要性不言而喻。如今的TLS協(xié)議不僅被用于傳輸層通訊,更作為一個標準的加密保護協(xié)議被廣泛應用于 FTP, 電子郵件和VPN等領域,時刻保護著我們網(wǎng)絡通信的安全。
上周一個新的加密攻擊被披露,它可以攻破加密的TLS流量,允許攻擊者攔截并竊取以前認為安全可靠的數(shù)據(jù)。這兩個被披露的新的TLS協(xié)議漏洞被命名為“Zombie POODLE”和“ GOLDENDOODLE(CVE)” 使用Zombie POODLE,能夠在Citrix負載均衡器中恢復POODLE攻擊,與此同時,GOLDENDOODLE是一種類似的攻擊,但具有更強大,更快速的加密黑客攻擊性能。
在Alexa排名前100萬的網(wǎng)站中,約有2000個網(wǎng)站易受Zombie POODLE的攻擊,約1000個網(wǎng)站易受GOLDENDOODLE的攻擊,還有數(shù)百個網(wǎng)站仍易受五年前就被曝出的舊漏洞POODLE的攻擊。
此攻擊所需條件:
1 HTTPS服務端使用了CBC密碼套件
2 在被攻擊客戶端和被攻擊服務器之間創(chuàng)建中間人通道MITM,如建立惡意WiFi熱點,或者劫持路由器等中間網(wǎng)絡設備
3 攻擊者通過植入用戶訪問的非加密網(wǎng)站上的代碼,將惡意JavaScript注入受害者的瀏覽器。
4 惡意腳本構造特定的HTTPS請求加密網(wǎng)站,結合中間人旁路監(jiān)聽加密數(shù)據(jù),多次請求后即可獲得加密數(shù)據(jù)中的Cookie和憑證。
亞洲誠信作為互聯(lián)網(wǎng)安全SSL/TLS領域的資深技術團隊,率先推出應對策略:
1 確保全站HTTPS完整性,杜絕引入不安全的外鏈(HTTP腳本資源,尤其是JavaScript腳本),可以通過亞洲誠信提供的MySSL企業(yè)版進行不安全外鏈監(jiān)控。
2 檢查服務器,避免使用RC4和CBC等不安全密碼套件,通過MySSL.com上檢測,支持的加密套件中避免出現(xiàn)弱密碼和包含CBC的密碼套件。
3 涉及敏感信息或者重要商業(yè)數(shù)據(jù)的系統(tǒng)加強異常狀況監(jiān)測和巡查,并保持符合HTTPS最佳安全實踐??汕巴鵫ttps://MySSL.com獲取HTTPS最佳實踐白皮書。
另外: 為幫助易受攻擊的網(wǎng)站更好的防范和應對此次威脅,亞洲誠信對業(yè)界提供了7*24小時在線咨詢,可以通過關注微信公眾號[亞洲誠信TrustAsia]獲取技術支持。郵箱:support@trustasia.com
申請創(chuàng)業(yè)報道,分享創(chuàng)業(yè)好點子。點擊此處,共同探討創(chuàng)業(yè)新機遇!