SSL - в чому причина відключення підтримки SSL v2?


8

Я помітив багато посібників, які стверджують, що слід відключити підтримку SSL v2 під час налаштування SSL на веб-сервері.

Я не можу зрозуміти причину. Може хтось скаже мені, чому, будь ласка?

Відповіді:


12

Вікіпедія :

SSL 2.0 недоліки різними способами: 1

  • Ідентичні криптографічні ключі використовуються для аутентифікації та шифрування повідомлень.
  • SSL 2.0 має слабку конструкцію MAC, яка використовує хеш-функцію MD5 з секретним префіксом, що робить її вразливою до атак подовження довжини.
  • SSL 2.0 не захищає рукостискання, це означає, що атака людини середнього рівня може знижуватися.
  • SSL 2.0 використовує TCP-з'єднання близько, щоб вказати кінець даних. Це означає, що можливі напади усікання: зловмисник просто підробляє TCP FIN, залишаючи одержувача невідомим про незаконне повідомлення про закінчення передачі даних (SSL 3.0 виправляє цю проблему шляхом явного попередження про закриття).
  • SSL 2.0 передбачає єдину послугу та сертифікат фіксованого домену, що суперечить стандартній функції віртуального хостингу на веб-серверах. Це означає, що більшість веб-сайтів практично не мають можливості використовувати SSL. TLS / SNI це виправляє, але ще не розгорнуто на веб-серверах.

1: http://en.wikipedia.org/wiki/Transport_Layer_Security#SSL_1.0.2C_2.0_і_3.0

Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.