SSL - какова причина отключения поддержки SSL v2?
Я заметил, что многие руководства, говорящие Вас, должны отключить поддержку SSL v2 при установке SSL на веб-сервере.
Я не могу понять причину. Кто-то может сказать мне почему?
8
задан studiohack
21.08.2011, 10:42
Ссылка
1 ответ
SSL 2.0 испорчен во множестве ways:1
- Идентичные криптографические ключи используются для аутентификации сообщений и шифрования.
- SSL 2.0 имеет слабую конструкцию MAC, которая использует хеш-функцию MD5 с секретным префиксом, делая его уязвимым для нападений расширения длины.
- SSL 2.0 не имеет никакой защиты для квитирования, означая, что нападение снижения man-in-the-middle может пойти необнаруженное.
- SSL 2.0 использует соединение TCP близко к, указывают на конец данных. Это означает, что нападения усечения возможны: взломщик просто подделывает FIN TCP, оставляя получателя, не знающего о незаконном конце сообщения данных (SSL 3.0 решает эту проблему при наличии явного предупреждения закрытия).
- SSL 2.0 принимает единственный сервис и фиксированный доменный сертификат, который сталкивается со стандартной функцией виртуального хостинга в веб-серверах. Это означает, что большинству веб-сайтов практически повреждают от использования SSL. TLS/SNI фиксирует это, но не развертывается в веб-серверах пока еще.
1: http://en.wikipedia.org/wiki/Transport_Layer_Security#SSL_1.0.2C_2.0_and_3.0
12
ответ дан slhck
07.12.2019, 14:00
Ссылка