SSL/TLS高危协议降权漏洞

发布时间:2018/1/24 20:52:57 打印 字号:

tls1.jpg

漏洞原理

        攻击者作为中间人迫使TLS握手使用一个低等级的协议或者使用低强度的密码套件,目前浏览器为了兼容性都支持自愿协议降级,它们会首先使用其支持的最高TLS版本尝试连接,如果首次连接失败,则降低协议版本直到连接建立,这一兼容性措施使得使用不安全的低版本协议。

漏洞等级

      高危

修复方案

      SCSV方案

      使用SCSV(signaling cipher suite value)来让客户端用它们支持的最高版本协议进行通信,当服务器在发现协议版本号不符合的时候强制关闭连接。