心脏再次出血?Google 披露 SSL 3.0 安全漏洞
作者:星期三, 十月 15, 20140

google-ssl-encryption_thumb.jpg

SSL加密协议近日再爆类似心脏出血漏洞,根据Google研究人员公布的报告,SSL 3.0协议中存在一个bug,可被黑客用于截取客户机和服务器之间进行加密的关键数据。该漏洞首选允许攻击者发起降级攻击,即欺骗客户端说服务器不支持更安全的安全传输层(TLS)协议,然后强制其转向使用SSL 3.0。

Google安全团队成员报告在SSL 3.0加密协议中发现了一个安全漏洞(PDF, 被称为POODLE攻击),允许攻击者计算出加密通讯的明文内容。

SSL 3.0已有近15年历史,已被TLS 1.0/1.1/1.2所取代,但今天的绝大部分浏览器仍然向后兼容SSL 3.0,默认情况下会使用新版的TLS协议,但如果协议握手失败,浏览器会尝试使用旧版的SSL 3.0。这意味着,黑客完全有能力在攻击一个服务器/单一用户的时候故意制造连接失败的情况,触发浏览器的机制使用 SSL 3.0,并且从中获取用户/服务器端的关键信息。

禁用浏览器的SSL 3.0支持足以减轻这一问题,但兼容性问题又会出现。有意思的是, Google早已从Chrome中移除了启用禁用 SSL版本的选项。开发者表示他们正测试在Chrome中禁用SSL 3.0,并计划未来几个月从产品中全面移除SSL 3.0支持。

安全技术专家 Adam Langley 在自己的博客中给出了用户手动关闭掉 SSL 3.0 支持的方法。

Chrome 浏览器:

使用命令行工具来关闭掉支持。

Windows 用户:

1)完全关闭 Chrome 浏览器

2)复制一个平时打开 Chrome 浏览器的快捷方式

3)在新的快捷方式上右键点击,进入属性

4)在「目标」后面的空格中字段的末尾输入以下命令 –ssl-version-min=tls1

Mac OS X 用户:

1)完全关闭 Chrome 浏览器

2)找到本机自带的终端(Terminal)

3)输入以下命令:/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome –ssl-version-min=tls1

Linux 用户:

1)完全关闭 Chrome 浏览器

2)在终端中输入以下命令:google-chrome—ssl-version-min=tls1

Firefox 浏览器用户可以进入 关于:设置,方法是在地址栏输入 about:config,然后将 security.tls.version.min 调至 1。


相关文章

写一条评论

 

 

0条评论