首页 > 技术点滴 > U保镖带你修复SSL受诫礼漏洞

U保镖带你修复SSL受诫礼漏洞

2015年3月31日 baoz 阅读评论

一、漏洞概述

SSL/TLS是用于传输加密的协议,目前国际上用的最普遍的实现方式就是OpenSSL,它被广泛用于VPN和WEB服务中。就在29日,国外著名数据安全公司Imperva公布OpenSSL的RC4加密算法有漏洞,黑客可以通过旁路或者中间人的方式获取加密信息的明文。
二、漏洞修复方法
1、用户自行修复。
在VPN、WEB应用中禁用RC4加密算法。
Nginx可以在ssl_ciphers配置中加入!RC4,并重启Nginx。
2、使用ULB实现SSL负载均衡。
我们的ULB产品线的小伙伴在漏洞公布的当天晚上,通宵达旦的测试并以迅雷不及掩耳之势修复了这个漏洞。不想自己修复漏洞的用户,可以考虑使用我们的ULB产品。ULB(UCloud Load Balancer)是负载均衡服务,即在多台云主机间实现应用程序流量的自动分配。可实现故障自动切换,提高业务可用性,并提高资源利用率。详见 http://www.ucloud.cn/product/ulb_main/

三、漏洞验证方法
访问 https://www.ssllabs.com/ssltest/index.html 并输入要检测的域名,即可全面评估您https业务的安全性,同时还可以评估兼容性,一举两得。
如果存在该漏洞,则会出现下图红框中的提示信息。

QQ20150331-1
四、已知影响
XP+IE6用户将无法访问该网站。

QQ20150331-2
五、参考:
1、Attacking SSL when using RC4 – Imperva
http://www.imperva.com/docs/HII_Attacking_SSL_when_using_RC4.pdf
2、On the Security of RC4 in TLS and WPA
http://www.isg.rhul.ac.uk/tls/
3、This POODLE Bites: Exploiting The SSL 3.0 Fallback
https://www.openssl.org/~bodo/ssl-poodle.pdf
4、Openssl Security Advisory
https://www.openssl.org/news/secadv_20150319.txt
5、Security of CBC Ciphersuites in SSL/TLS
https://www.openssl.org/~bodo/tls-cbc.txt

分类: 技术点滴 标签:
  1. 本文目前尚无任何评论.