SSL之父称SSL不会因被攻击而失去生命力
SSL创建者之一,Axway CTO Taher Elgamal称,虽然发现了SSL/TLS (BEAST)在浏览器中的漏洞,且其证书验证失效,但是如果对其进行适当升级,该协议还是可用的。问题其实无关乎SSL/TLS本身,而是其周边的信任架构,以及修补协议漏洞时产生的问问题。Network World高级编辑Tim Greene最近就此问题采访了Elgamal。以下是双方的对话内容。
BEAST利用的漏洞早在2004年就已经出现,问题症结在哪里?
问题有些复杂,安全协议确实存在缺陷,我们应该意识到必须对协议进行升级和修补。全球所有浏览器都是使用TLS,这一协议就存在此漏洞。所以又必要了解这一攻击到底是怎么一回事。
BEAST的部署方式是在浏览器上安放恶意软件,这样就可以迫使浏览器产生cookies,然后这些cookies会被发送出去,然后再使用中间人攻击的方式获取加密数据。这一用户就遭受了所谓选定的纯文本攻击——用户选择纯文本,读取密文然后尝试进行匹配找出密钥。这种手法相当聪明。
从实践角度来看,真正的问题是用户不得不在机器上安装恶意软件。其实,如果可以在用户机器上安放恶意软件,就不需要使用SSL,因为攻击者可以在数据加密前看到所有数据。
这一威胁之所以传播得如此快,是因为全球有二十亿浏览器用户,而且所有浏览器都是用SSL,而且所有电子商务网站使用的都是该协议,因此我们必须谨慎对待。况且,Windows其实是不太理想的操作系统,它很容易被恶意软件利用。
采取什么方法比较实际?使用TLS 1.1?
遗憾的是这并非解决之道。很多浏览器目前仍不支持TLS 1.1。这才是问题所在,尽管TLS 1.1已经有两年多的历史。企业用户可以为此做些什么呢?企业用户应该留意恶意软件。确保自己的机器运行状态良好,使用的是a/v和反恶意软件定位工具。
TLS 1.1有什么负面影响吗?谁都希望一劳永逸,渴望可以获得永久的安全性。在过去十年时间里,电脑技术飞速发展,因此现在安全的东西不代表将来会安全。这倒是跟特定的安装,协议或是操作系统没有关系。必须对有缺陷的地方加以监控,及时更新,而这些都不会是一劳永逸。其实这与SSL没有什么关系,只是因为SSL被广泛使用到电子商务中,才成了替罪羊。作为一种协议,用其本身来做替换并不能解决什么问题。
事实上,带有内置root密钥的浏览器并非好事,但这种情况却很难改变。我们应该已经把受信任的的对象隔离开。如果不能隔离受信任的root,那么最好是创建一个每个人都要咨询的边缘声誉系统。当浏览器从未知CA处获取证书后,它会对其信誉进行询问。如果这一CA做了不恰当的事情,其信誉会下降,浏览器也会拒绝与其建立连接。比起保护消费者,我们更希望他们对网页的访问更方便。因此,我们才允许访客实施随机信任。在有人信任了某个事物后,很难在当前安装中再对其表示不信任。所以浏览器要放弃一些东西。虽然有些遗憾,但是这仅仅与PKI被部署到浏览器当中的方式有关系,而与特定的协议无关。你可以移除SSL,改用IPSec,相同的问题仍然会存在,因为二者都是使用PKI。
可以采取什么措施?
如果有什么办法可以把受信任对象从浏览器供应商中区分开,那自然最好。而受信任的root应该是具备内置信誉生态系统的互联网。所有CA都将内置声誉,因为这就是互联网的运作方式,这样你也拥有更优的信任模式。
如果发生这种情况,而且人们已经注意到当特定的CA正在发布不良证书的时候,其声誉系统会立刻将其剔除。不需要发布什么补丁,也不需要等别人提醒我们升级,该生态系统会自动完成操作。
工作机制
我们必须创建一种机制执行自动更新。如果我们打算使用更新协议完成自动更新,那么出现新版本的时候,它自己会找到更新地址而不需要等待Windows更新。
SSL之父称SSL不会因被攻击而失去生命力相关推荐
- oracle celient 作用,WebLogic Server 10.3 SSL配置及SSL协议传输的WebSevice调用.doc
搜索关键字:weblogic ssl webservice WebLogic Server ?? SSL 配置及 SSL 协议传输的 WebSevice 调用 作 者: 風 絮 ? ?2010-7-2 ...
- 禁止服务器的协议,Windows 服务器禁用 SSL 2 和 SSL 3 协议
[TOCM] 一.前言 首先说明一下,SSL 2 和 SSL 3 协议是两种过时的协议,原因是它们存在很严重的漏洞,所以我们要在服务端禁用 SSL 2 和 SSL 3 协议,以避免一些安全问题. SS ...
- TLS与SSL之间关系——SSL已经被IEFT组织废弃,你可以简单认为TLS是SSL的加强版
TLS与SSL之间关系 原文地址:SSL vs. TLS - What's the Difference? from:https://juejin.im/post/5b213a0ae51d4506d4 ...
- LNMP(Nginx负载均衡,SSL原理,Nginx配置SSL,生产SSL密钥对)
一.Nginx负载均衡 负载均衡:单从字面上的意思来理解就可以解释N台服务器平均分担负载,不会因为某台服务器负载高宕机而某台服务器闲置的情况.那么负载均衡的前提就是要有多台服务器才能实现,也就是两台以 ...
- 【SSL协议】SSL协议详解
背景介绍 最近在看<密码学与网络安全>相关的书籍,这篇文章主要详细介绍一下著名的网络安全协议SSL. 在开始SSl介绍之前,先给大家介绍几个密码学的概念和相关的知识. 1.密码学的相关概念 ...
- 服务器双向认证 原理,什么叫SSL双向认证 SSL双向认证过程是怎样的
我们都知道SSL认证能够分成SSL双向认证和SSL单向认证.那么,什么是SSL双向认证?SSL双向认证过程又是怎样的?小编就在接下来的内容为各位详细讲述. 什么叫SSL双向认证 SSL双向认证则是需要 ...
- python中pip不可用_python – pip无法确认SSL证书:SSL模块不可用
我正在尝试在我的Raspberry Pi Zero W上为Python 3.6安装RPi.GPIO,但不知何故它不会连接到python.org网站.我安装了2.7,3.0和3.6的pip,所以当我去做 ...
- mongodb ssl java_MongoDB自签名SSL连接:SSL对等证书验证失败
我使用的是Ubuntu 16.04和MongoDB v3.2.11 . 目的是在将MongoDB打开到公共互联网之前保护它 . 让我们启动mongod: $ mongod --auth --port ...
- WebSphere启动时遇到javax.net.ssl.SSLException: Unrecognized SSL message, plaintext connection?
先说一下环境 一开始直接启动Eclipse,然后在Servers里启动WebSphere v9.0,遇到这个问题 SSL 接続を初期化できません. 無許可アクセスが拒否されたか.セキュリティー設定の有 ...
- .NET 针对465加密端口 加密协议SSL(Implicit SSL)进行的邮件发送
项目中遇到一个邮件发送功能,使用常用的的SmtpClient进行发送,在本地进行了126的邮箱进行测试通过,客户发来对应的邮箱信息后告知是使用的是465加密端口,SSL加密协议,再把相关信息进行配置替 ...
最新文章
- QIIME 2教程. 20实用程序Utilities(2020.11)
- anaconda双版本完美并存
- python三大流程控制
- 音视频技术开发周刊 | 137
- Amazon Alexa 新里程碑: 50000 个功能、 20000 种设备、 3500 个品牌
- Servlet---注解开发
- 小白设计模式:访问者模式
- L1-02 聪明的高斯 (5 分)
- [教程]控制反转(IoC)与依赖注入(DI)
- [转]Java杂谈(七)--接口amp; 组件、容器
- 去掉CAD打印时出现由AUTODESK教育版产品制作戳记的方法
- C语言正交表测试用例,用正交表设计测试用例
- Unity 3D模型展示素材
- 温州大学计算机学硕考研难度,2020年温州大学计算机科学与技术考研经验分享...
- 破解指纹打卡机 考勤机
- 企业私有云规划资源设计
- Git恢复已删除文件
- 超时空智慧办公白皮书(2023)
- 区块链中的女巫攻击问题
- 【时间之外】面向监狱的编程?该学学网络安全法了(3)