Google發布SSLv3漏洞簡要分析報告

摘要：今天上午，google發布了乙份關於sslv3漏洞的簡要分析報告。根據google的說法，該漏洞貫穿於所有的sslv3版本中，利用該漏洞，黑客可以通過中間人攻擊等類似的方式(只要劫持到的資料加密兩端均使用ssl3.0)，便可以成功獲取到傳輸資料(例如cookies)。

關鍵字：google

sslv3漏洞

今天上午，google發布了乙份關於sslv3漏洞的簡要分析報告。根據google的說法，該漏洞貫穿於所有的sslv3版本中，利用該漏洞，黑客可以通過中間人攻擊等類似的方式(只要劫持到的資料加密兩端均使用ssl3.0)，便可以成功獲取到傳輸資料(例如cookies)。截止到發文前，還沒有任何補丁放出來。

對此google表示，他們只能給出乙個無奈的建議：關閉客戶端sslv3支援或者伺服器sslv3支援或者兩者全部關閉。

另外，google已經明確表態將在接下來的數月中，逐步從其服務中撤銷掉sslv3的支援。

freebuf修復建議(感謝紅黃滿提供)：

nginx：

ssl_protocols tlsv1 tlsv1.1 tlsv1.2;

ssl_prefer_server_ciphers on;

ssl_ciphers ecdhe-rsa-aes256-gcm-sha384:ecdhe-rsa-aes128-gcm-sha256:ecdhe-rsa-aes256-sha384:ecdhe-rsa-aes128-sha256:ecdhe-rsa-rc4-sha:ecdhe-rsa-aes256-sha:dhe-rsa-aes256-sha:dhe-rsa-aes128-sha:rc4-sha:!anull:!enull:!export:!des:!3des:!md5:!dss:!pks;

ssl_session_timeout 5m;

ssl_session_cache builtin:1000 shared:ssl:10m;

apache:

sslprotocol all -sslv2 -sslv3

sslhonorcipherorder on

sslciphersuite ecdhe-rsa-aes256-gcm-sha384:ecdhe-rsa-aes128-gcm-sha256:ecdhe-rsa-aes256-sha384:ecdhe-rsa-aes128-sha256:ecdhe-rsa-rc4-sha:ecdhe-rsa-aes256-sha:dhe-rsa-aes256-sha:dhe-rsa-aes128-sha:rc4-sha:!anull:!md5:!dss

Google發布SSLv3漏洞簡要分析報告

禁用SSL v2 0 SSL v3 0協議

Google 發布網頁統計報告

Google發布IM軟體 Talk

Google發布SSLv3漏洞簡要分析報告

禁用SSL v2 0 SSL v3 0協議

Google 發布網頁統計報告

Google發布IM軟體 Talk

相關推薦