科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道应用安全有补丁也不打?四分之一SSL网站有风险

有补丁也不打?四分之一SSL网站有风险

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

在互联网工程任务组(Internet Engineering Task Force ,IETF)发布修复SSL协议中存在的漏洞(主要影响服务器、浏览器、智能卡和VPN产品,以及很多低端设备,如摄像头等)的安全补丁的一年多后,仍然有四分之一的SSL网站没有安装这个补丁,这让这些网站很容易收到中间人攻击。

来源:it168 2011年4月25日

关键字: SSL 网站安全

  • 评论
  • 分享微博
  • 分享邮件

  在互联网工程任务组(Internet Engineering Task Force ,IETF)发布修复SSL协议中存在的漏洞(主要影响服务器、浏览器、智能卡和VPN产品,以及很多低端设备,如摄像头等)的安全补丁的一年多后,仍然有四分之一的SSL网站没有安装这个补丁,这让这些网站很容易收到中间人攻击。

  Qualys公司的工程主管Ivan Ristic近日对120万个启用SSL网站服务器进行了调查,其中发现超过25%的网站没有运行所谓的安全的renegotiation。Ristic还发现,在Alexa排名前100万的网站中的30万个网站中,有35%容易受到这种类型的攻击,这种攻击主要是利用了SSL认证过程中存在的问题,可以让攻击者发动中间人攻击,并将攻击者自己的文本注入到已加密的SSL会话中。这个问题主要存在于renegotiation过程中,有些应用程序要求对加密过程进行更新。

  为了解决这个问题,互联网工程任务组联手促进互联网安全企业论坛以及一些供应商,例如谷歌、微软和PhoneFactor,发布SSL的修复补丁,也就是互联网工程任务组标准中的传输层安全(TLS)。这个修复补丁(传输层安全TLS Renegotiation Indication Extension)于2010年一月发布。

  “令人感到意外的是,顶级网站的安全状况比一般网站的还要差,”Ristic对调查结果表示。

  Ristic表示,这些容易受到攻击的网站基本上没有修复这个漏洞。“在修复补丁后,才能够确保安全进行renegotiation,”他表示,“这些漏洞系统也可以部署其他解决方法,通过禁用客户端发起的renegotiation,但是他们也没有这样做。”

  发现这个漏洞的PhoneFactor公司的Marsh Ray表示,这些数据说明了修复漏洞方面的场景安全状况,“有一定数量的网站会立即修复漏洞,然后修复后就没有采取任何行动了。”

  Ray表示,“我们已经尽了全力,我们让供应商及时地提供修复补丁。你可以把马带到湖边,但是你不能命令它喝水。”

  SSL安全问题一直受到广泛关注,首先是研究人员Moxie Marlinspike制造的中间人攻击,诱骗用户认为他正处于一个HTTPS会话中,而实际上他已经被攻击者重定向到其他位置。随之而来的是研究人员Dan Kaminsky的研究,他发现了SSL中使用的X.509数字证书技术存在的关键漏洞。

  “我认为没有办法让个人用户大幅度改善SSL部署情况。存在太多问题,而且根本没有人在乎。我觉得我们应该将侧重于库开发人员(举例来说)OpenSSL,让他们移除过时的功能,并且让软件供应商确保默认情况下开启了必要的安全功能,”Ristic表示。

  他表示,从长远来看,将需要其他方法来帮助确保SSL部署的安全。“从长远来看,谷歌使用的方法肯定会变得非常流行,他们正在通过改善性能来实现安全的改进。例如,他们的SPDY协议在默认情况下是100%加密的。所以,所有转移到SPDY获取更好性能的用户还将获得更好的安全,”Ristic指出,“总体来说,我们的共同努力,SPDY、DNSSEC、HSTS以及类似的较小的协议改进都将帮助我们实现更好的安全。”

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章