×

https 漏洞 s http

https 漏洞（https证书有什么用网站安装https证书可以防止信息泄露吗）

admin admin 发表于2022-09-04 04:24:38 浏览223 评论0

抢沙发发表评论

本文目录

https证书有什么用网站安装https证书可以防止信息泄露吗


SSL证书最基本的功能就是保护网站数据安全，对网站数据信息进行加密，所以网站安装




漏洞扫描设备检测出服务存在漏洞：可通过HTTPS获取远端WWW服务版信息，如何解决


方法有两种比如：
第一种：IIS中关闭目录浏览功能：在IIS的网站属性中，勾去“目录浏览”选项，重启IIS；
第二种：Apache中关闭目录浏览功能：
打开Apache配置文件

常见的几种SSL/TLS漏洞及攻击方式


SSL/TLS漏洞目前还是比较普遍的，首先关闭协议：SSL2、SSL3（比较老的SSL协议）配置完成ATS安全标准就可以避免以下的攻击了，最新的服务器环境都不会有一下问题，当然这种漏洞都是自己部署证书没有配置好导致的。-http

Export 加密算法

Export是一种老旧的弱加密算法，是被美国法律标示为可出口的加密算法，其限制对称加密最大强度位数为40位，限制密钥交换强度为最大512位。这是一个现今被强制丢弃的算法。

Downgrade（降级攻击）

降级攻击是一种对计算机系统或者通信协议的攻击，在降级攻击中，攻击者故意使系统放弃新式、安全性高的工作方式，反而使用为向下兼容而准备的老式、安全性差的工作方式，降级攻击常被用于中间人攻击，讲加密的通信协议安全性大幅削弱，得以进行原本不可能做到的攻击。 在现代的回退防御中，使用单独的信号套件来指示自愿降级行为，需要理解该信号并支持更高协议版本的服务器来终止协商，该套件是TLS_FALLBACK_SCSV(0x5600)-s

MITM（中间人攻击）

MITM(Man-in-the-MiddleAttack) ，是指攻击者与通讯的两端分别创建独立的联系，并交换其所有收到的数据，使通讯的两端认为他们正在通过一个私密的连接与对方直接对话，但事实上整个对话都被攻击者完全控制，在中间人攻击中，攻击者可以拦截通讯双方的通话并插入新的内容。一个中间人攻击能成功的前提条件是攻击者能够将自己伪装成每个参与会话的终端，并且不被其他终端识破。-http

BEAST（野兽攻击）

BEAST(CVE-2011-3389) BEAST是一种明文攻击，通过从SSL/TLS加密的会话中获取受害者的COOKIE值（通过进行一次会话劫持攻击），进而篡改一个加密算法的 CBC（密码块链）的模式以实现攻击目录，其主要针对TLS1.0和更早版本的协议中的对称加密算法CBC模式。-s

RC4 加密算法

由于早期的BEAST野兽攻击而采用的加密算法，RC4算法能减轻野兽攻击的危害，后来随着客户端版本升级，有了客户端缓解方案（Chrome 和 Firefox 提供了缓解方案），野兽攻击就不是什么大问题了。同样这是一个现今被强制丢弃的算法。-http

CRIME（罪恶攻击）

CRIME(CVE-2012-4929)，全称Compression Ratio Info-leak Made Easy，这是一种因SSL压缩造成的安全隐患，通过它可窃取启用数据压缩特性的HTTPS或SPDY协议传输的私密Web Cookie。在成功读取身份验证Cookie后，攻击者可以实行会话劫持和发动进一步攻击。-s

SSL 压缩在下述版本是默认关闭的： nginx 1.1.6及更高/1.0.9及更高（如果使用了 OpenSSL 1.0.0及更高）， nginx 1.3.2及更高/1.2.2及更高（如果使用较旧版本的 OpenSSL）。-http

如果你使用一个早期版本的 nginx 或 OpenSSL，而且你的发行版没有向后移植该选项，那么你需要重新编译没有一个 ZLIB 支持的 OpenSSL。这会禁止 OpenSSL 使用 DEFLATE 压缩方式。如果你禁用了这个，你仍然可以使用常规的 HTML DEFLATE 压缩。-s

Heartbleed（心血漏洞）

Heartbleed(CVE-2014-0160) 是一个于2014年4月公布的 OpenSSL 加密库的漏洞，它是一个被广泛使用的传输层安全（TLS）协议的实现。无论是服务器端还是客户端在 TLS 中使用了有缺陷的 OpenSSL，都可以被利用该缺陷。由于它是因 DTLS 心跳扩展（RFC 6520）中的输入验证不正确（缺少了边界检查）而导致的，所以该漏洞根据“心跳”而命名。这个漏洞是一种缓存区超读漏洞，它可以读取到本不应该读取的数据。如果使用带缺陷的Openssl版本，无论是服务器还是客户端，都可能因此受到攻击。-http

POODLE漏洞（卷毛狗攻击）

2014年10月14号由Google发现的POODLE漏洞，全称是Padding Oracle On Downloaded Legacy Encryption vulnerability，又被称为“贵宾犬攻击”（CVE-2014-3566），POODLE漏洞只对CBC模式的明文进行了身份验证，但是没有对填充字节进行完整性验证，攻击者窃取采用SSL3.0版加密通信过程中的内容，对填充字节修改并且利用预置填充来恢复加密内容，以达到攻击目的。-s

TLS POODLE（TLS卷毛狗攻击）

TLS POODLE(CVE-2014-8730) 该漏洞的原理和POODLE漏洞的原理一致，但不是SSL3协议。由于TLS填充是SSLv3的一个子集，因此可以重新使用针对TLS的POODLE攻击。TLS对于它的填充格式是非常严格的，但是一些TLS实现在解密之后不执行填充结构的检查。即使使用TLS也不会容易受到POODLE攻击的影响。-http

CCS

CCS(CVE-2014-0224) 全称openssl MITM CCS injection attack，Openssl 0.9.8za之前的版本、1.0.0m之前的以及1.0.1h之前的openssl没有适当的限制ChangeCipherSpec信息的处理，这允许中间人攻击者在通信之间使用0长度的主密钥。-s

FREAK

FREAK(CVE-2015-0204) 客户端会在一个全安全强度的RSA握手过程中接受使用弱安全强度的出口RSA密钥，其中关键在于客户端并没有允许协商任何出口级别的RSA密码套件。

Logjam

Logjam(CVE-2015-4000) 使用 Diffie-Hellman 密钥交换协议的 TLS 连接很容易受到攻击，尤其是DH密钥中的公钥强度小于1024bits。中间人攻击者可将有漏洞的 TLS 连接降级至使用 512 字节导出级加密。这种攻击会影响支持 DHE_EXPORT 密码的所有服务器。这个攻击可通过为两组弱 Diffie-Hellman 参数预先计算 512 字节质数完成，特别是 Apache 的 -http

强制丢弃的算法

  • aNULL 包含了非验证的 Diffie-Hellman 密钥交换，这会受到中间人（MITM）攻击

  • eNULL 包含了无加密的算法（明文）

  • EXPORT 是老旧的弱加密算法，是被美国法律标示为可出口的

  • RC4 包含的加密算法使用了已弃用的 ARCFOUR 算法

  • DES 包含的加密算法使用了弃用的数据加密标准（DES）

  • SSLv2 包含了定义在旧版本 SSL 标准中的所有算法，现已弃用

  • MD5 包含了使用已弃用的 MD5 作为哈希算法的所有算法


    • 如何评价 2016 年 3 月 1 日公布的 HTTPS DROWN Attack 漏洞


    这个漏洞已经有了非常多的专业讨论，目前的结论还是没什么用，漏洞作者是标题党。当然、圈内人士都还在尝试挖掘、观察是否有真的可行的攻击方式，跟心脏滴血战斗力100比，这个漏洞战斗力大概只有5都不到。 很抱歉我的答案又不符合各位心理的预期（没有说漏洞很严重然后打脸）或者说刚好符合你们的预期（在给阿里乃至整个被影响公司洗地），我知道会被骂会被踩下去，然而我依旧站出来。 在我的专业领域，我永远不畏惧非专业人士狭隘简陋可笑的结论，我一定会站出来面对各种批判辱骂，把正确的专业的东西传达出来。我也努力尝试不跟非专业人士讲技术，但是抱歉我好像很难做到。
    -s

    https出现安全警告怎么办


    您好！

    常见出现ssl警告的解决方法

    1、若证书过期、废弃或错误，可找证书颁发机构重新颁发证书。

    2、若是其他技术问题，可寻求证书颁发机构相关的技术人员解决。

    3、若是网络出现故障，在浏览器里点击工具-internet选项-高级，往下找到ssl2.0和ssl3.0选上，保存退出重启。

    “ssl警告”有时网络会出现故障的，可以换个浏览器使用即可；也可能所访问的网站是钓鱼网站，或是网站的SSL证书是没有经过权威机构认证的私人证书，访问此类网站要多小心不要提交个人信息。具体解决方法：

    • 在浏览器里点工具，然后点internet选项。

      • 请点击输入图片描述

    • 然后点高级，然后往下找，找到ssl2.0和ssl3.0，把这两个选上，保存退出重启。

      • 请点击输入图片描述

    • SSL(Secure Sockets Layer 安全套接层),及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。-http


    https协议在有漏洞的操作系统使用安全吗


    您好！
    访问HTTPS网站，首先就要确保自己的电脑是安全，如果电脑本身存在劫持病毒后门，使用过程中是不安全！当然如果打开浏览器提示不安全或弹出警告，建议您暂停访问。如果您是HTTPS网站的负责人也使用EV证书，这样用户访问网站可以直接识别是否被劫持，避免进入钓鱼网站。
    -s

    https不安全怎么解决


    有很多朋友配置好如果强制载入，则会出现下列不安全提示：

    1、优化网页代码

    2、修改图片资源

    3、修改CSS资源

    4、修改js其他资源

    5、借助Chrome开发者工具修改

    配置HTTPS证书后，出现不安全提示的解决方法请参考：网页链接