七步解决关键SSL安全问题及漏洞

灰太狼 2021-04-22 15:49 526阅读 0赞

近年来，安全套接字层(SSL)技术已经有所改进，但同时也出现新的漏洞。本文中我们将探讨新的SSL安全形势以及新的安全问题。下面让我们来了解这些SSL安全问题以及可帮助信息安全专业人员解决这些问题及安全部署SSL的七个步骤。

**第一步：SSL证书**

SSL证书是SSL安全的重要组成部分，并指示用户网站是否可信。基于此，SSL必须是从可靠的证书颁发机构(CA)获取，而且CA的市场份额越大越好，因为这意味着证书被撤销的几率更低。企业不应该依靠自签名证书。企业最好选择采用SHA-2散列算法的证书，因为目前这种算法还没有已知漏洞。

扩展验证(EV)证书提供了另一种方法来提高对网站安全的信任度。大多数浏览器会将具有EV证书的网站显示为安全绿色网站，这为最终用户提供了强烈的视觉线索，让他们知道该网站可安全访问。

**第二步：禁用过时的SSL版本**

较旧版本的SSL协议是导致SSL安全问题的主要因素。SSL 2.0早就遭受攻击，并应该被禁用。而因为POODLE攻击的发现，SSL 3.0 现在也被视为遭受破坏，且不应该被支持。Web服务器应该配置为在第一个实例中使用TLSv1.2，这提供了最高的安全性。现代浏览器都支持这个协议，运行旧浏览器的用户则可以启用TLS 1.1和1.0支持。

**第三步：禁用弱密码**

少于128位的密码应该被禁用，因为它们没有提供足够的加密强度。这也将满足禁用输出密码的要求。RC4密码应该被禁用，因为它存在漏洞容易受到攻击。

理想情况下，web服务器应该配置为优先使用ECDHE密码，启用前向保密。该选项意味着，即使服务器的私钥被攻破，攻击者将无法解密先前拦截的通信。

**第四步：禁用客户端重新协商**

重新协商允许客户端和服务器阻止SSL交流以重新协商连接的参数。客户端发起的重新协商可能导致拒绝服务攻击，这是严重的SSL安全问题，因为这个过程需要服务器端更多的处理能力。

**第五步：禁用TLS压缩**

CRIME攻击通过利用压缩过程中的漏洞，可解密部分安全连接。而禁用TLS压缩可防止这种攻击。另外要注意，HTTP压缩可能被TIME和BREACH攻击利用;然而，这些都是非常难以完成的攻击。

**第六步：禁用混合内容**

应该在网站的所有区域启用加密。任何混合内容(即部分加密，部分未加密)都可能导致整个用户会话遭攻击。

**第七步：安全cookie和HTTP严格传输安全(HSTS)**

确保所有控制用户会话的cookie都设置了安全属性;这可防止cookie通过不安全的连接被暴力破解和拦截。与此类似，还应该启用HSTS以防止任何未加密连接。

按照这些步骤的话，SSL部署会很安全。但请注意，处理S

发表评论取消回复

表情：

评论列表（有 0 条评论，526人围观）

还没有评论，来说两句吧...

相关阅读

相关 Oracle数据库安全防护：关键问题及解决方案

在Oracle数据库的安全防护中，可能会遇到以下几个关键问题，并提供相应的解决方案： 1. 访问控制问题：用户可能没有适当的权限访问某些数据库对象。解决方法包括定义角色并分配

电玩女神/ 2024年12月25日 07:54/ 0 赞/ 28 阅读

相关 Java安全漏洞：SQL注入问题的重现及解决方案

SQL注入是一种常见的安全漏洞，它允许攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，来操纵后端数据库。这种攻击可以导致数据泄露、数据篡改、拒绝服务等严重后果。下面我

谁践踏了优雅/ 2024年11月09日 13:21/ 0 赞/ 27 阅读

相关理解和避免Java安全漏洞的关键问题案例

理解和避免Java安全漏洞的关键问题案例通常涉及具体的代码和攻击手段。以下是一个典型的例子：案例：SQL注入漏洞场景：一个在线商城，用户在商品详情页提交购买信息时，系统

￡神魔★判官ぃ/ 2024年09月20日 20:39/ 0 赞/ 65 阅读

相关了解安全漏洞：预防攻击的第一步

几年前，一个名为 Parler 的社交网络通过连续的数字 ID 列出用户，当用户能够请求并下载该网络上的完整用户列表时，该网络就成为此类攻击的受害者。例如，他们的 URL

朱雀/ 2023年10月13日 08:09/ 0 赞/ 37 阅读

相关 SSL/TLS类安全漏洞及SLB安全漏洞问题

SSL/TLS类安全漏洞及SLB安全漏洞问题 1 : 问题背景 1.1、SSL/TLS类漏洞-Sweet32 攻击 1.2、SSL/TLS

小咪咪/ 2023年09月23日 19:43/ 0 赞/ 102 阅读

相关应用安全漏洞及修复

应用安全漏洞及修复近期阿里云服务漏洞扫描，发现大量应用安全漏洞，做出安全漏洞修复方案，一般三方jar包漏洞，官方发布漏洞时，肯定已有新版本做了处理，所以我们只需要做ja

旧城等待，/ 2022年10月31日 00:54/ 0 赞/ 434 阅读

相关解决关键SSL安全问题和漏洞

解决关键SSL安全问题和漏洞参考文章： [（1）解决关键SSL安全问题和漏洞][1_SSL] （2）https://www.cnblogs.com/qmfsun/p/6

迷南。/ 2022年08月28日 07:53/ 0 赞/ 30 阅读

相关 Struts2/XWork 安全漏洞及解决办法

exploit-db网站在7月14日爆出了一个Struts2的远程执行任意代码的漏洞。漏洞名称：Struts2/XWork < 2.2.0 Remote Command

迈不过友情╰/ 2022年07月12日 14:39/ 0 赞/ 264 阅读

相关安全扫描漏洞解决

Appscan漏洞已解密的登录请求该漏洞，可能会窃取诸如用户名和密码等未经加密即发送了的用户登录信息；整改方案： 1.对于用户名和密码等敏感信息，字段名匿名，字段

青旅半醒/ 2022年01月28日 15:01/ 0 赞/ 704 阅读

相关七步解决关键SSL安全问题及漏洞

近年来，安全套接字层(SSL)技术已经有所改进，但同时也出现新的漏洞。本文中我们将探讨新的SSL安全形势以及新的安全问题。下面让我们来了解这些SSL安全问题以及可帮助信息...

灰太狼/ 2021年04月22日 15:49/ 0 赞/ 527 阅读