浮尘 发表于 2015-9-23 07:33:14

永别了:谷歌宣布放弃RC4和SSLv3协议

谷歌计划这周开始正式放弃支持流计算RC4和SSlv3协议。二者都有很长的历史,它们也曾暴露出了很多漏洞。

该计划预计将在周四发布,谷歌意在2016年在其所有的前端服务器,Chrome,Android,webcrawlers和SMTP服务器放弃使用RC4和SSLv3。国际互联网工程任务组(IETF)早在今年六月宣称SSLv3死亡,并明确指出其危险性——任何版本的TLS都比SSLv3安全。

不安全导致被淘汰

去年11月谷歌就禁止了SSLv3的回落机制以应对POODLE攻击。POODLE攻击技术允许攻击者强制服务器放弃先进的协议SSL/TLS转而使用更低级的SSLv3,许多TLS客户端支持降级机制,第一次握手提供能支持的最高协议版本,如果握手失败就用更原始的协议。这需要控制受害者的网络连接,并在其浏览器中执行一些脚本。可是当时谷歌还依然支持SSLv3,没有完全废除这项已经16岁的协议。

RC4已经28岁了,最初它很好用,今年来成为了综合攻击的目标,一些可以延伸到解密会话和cookie。RC4是流密码,用随机数加密明文,没有密钥就不能解密。但是用来加密的随机数不像预想的那样随机,至少在进程开始攻击者可以利用足够的TLS请求解密出明文。

谷歌宣布了一些未来TLS客户端的最低安全性标准

1,TLS 1.2一定支持
2,一个服务器名字特征(SNI server name indication)扩展一定要包含在握手包里,还要包含将要链接的域名
3,至少https://pki.google.com/roots.pem 的证书要信任
4,证书操作一定能支持DNS Subject Alternative Names 并且这些CAN 包含一个单独的通配符作为名字最左边的标签。
安全专家Langley说:不满足需求的设备不会很快就停止,但也承认目前的现状会维持到2020年。

如果你的TLS客户端,web服务器或者邮件服务器使用SSLv3或RC4,建议你立即更新。然而不更新不意味着无法工作,TLS可以做替代工作,但是如果你只支持RC4那就要出问题了。

xiaoqqf4 发表于 2015-9-23 09:22:59

还是不错的哦,顶了

ayang 发表于 2015-9-23 09:40:10

支持中国红客联盟(ihonker.org)

Jack-5 发表于 2015-9-24 07:07:38

还是不错的哦,顶了

小龙 发表于 2015-9-24 12:46:31

还是不错的哦,顶了

cl476874045 发表于 2015-9-24 19:59:16

还是不错的哦,顶了

H.U.C-麦麦 发表于 2015-9-25 04:30:27

支持,看起来不错呢!

小龙 发表于 2015-9-25 06:37:28

感谢楼主的分享~

asion 发表于 2015-9-25 18:01:18

还是不错的哦,顶了

Micah 发表于 2015-9-27 09:42:59

还是不错的哦,顶了
页: [1] 2 3 4 5 6 7 8 9 10
查看完整版本: 永别了:谷歌宣布放弃RC4和SSLv3协议