Πώς να δοκιμάσετε το FREAK Attack (CVE-2015-0204) και να το διορθώσετε;
Είναι ασφαλής ο ιστότοπός σας από το FREAK Attack;
Η Ασφάλεια Ιστού συμβαίνει αυτές τις μέρες. Υπάρχει πάντα κάτι που να κρατά απασχολημένο το Security Expert και το όνομα τρωτών σημείων είναι λίγο πιασάρικο όπως Heart Bleed, Poodle και τώρα Freak Attack.
Σε αυτόν τον οδηγό, θα εξηγήσω πώς να προσδιορίσετε εάν επηρεάζεται ο ιστότοπός σας και τη διαδικασία για την επιδιόρθωση των τρωτών σημείων.
Πίνακας περιεχομένων
Εισαγωγή
Αν ενδιαφέρεστε ή δεν γνωρίζετε για το Freak Attack, εδώ είναι λίγα λόγια. Karthikeyan Bhargavan ανακάλυψε ευπάθεια επίθεσης FREAK στο INRIA στο Παρίσι.
Ανακοινώθηκε στις 3 Μαρτίου 2015 ότι η νέα ευπάθεια SSL/TLS θα επέτρεπε σε έναν εισβολέα να παρεμποδίσει τη σύνδεση HTTPS μεταξύ ευάλωτου πελάτη και διακομιστή και τη δυνατότητα να τους εξαναγκάσει να χρησιμοποιήσουν αδύναμη κρυπτογράφηση. Αυτό θα βοηθήσει έναν εισβολέα να κλέψει ή να χειραγωγήσει ευαίσθητα δεδομένα.
Ελέγξτε εάν ο διακομιστής σας είναι ευάλωτος
Εάν ο διακομιστής Ιστού σας δέχεται σειρές κρυπτογράφησης RSA_EXPORT, τότε διατρέχετε κίνδυνο. Μπορείτε να ελέγξετε τη διεύθυνση URL HTTPS στον παρακάτω σύνδεσμο.
Διορθώστε την ευπάθεια ασφαλείας FREAK Attack
Διακομιστής Apache HTTP – μπορείτε να απενεργοποιήσετε τις σουίτες κρυπτογράφησης EXPORT προσθέτοντας παρακάτω στο αρχείο διαμόρφωσης httpd.conf ή SSL.
SSLCipherSuite !EXPORT
Μπορεί να έχετε ήδη μια γραμμή SSLCipherSuite στο αρχείο διαμόρφωσής σας. Εάν ναι, πρέπει απλώς να προσθέσετε το !EXPORT στο τέλος της γραμμής.
Εάν είστε νέος στη διαμόρφωση, μπορείτε να διαβάσετε τον Οδηγό ασφαλείας και σκλήρυνσης του διακομιστή Web Apache.
Nginx – προσθέστε τα ακόλουθα στο αρχείο διαμόρφωσής σας.
ssl_ciphers '!EXPORT';
Επιπλέον, μπορείτε να χρησιμοποιήσετε το SSL Configuration Generator ή Προτεινόμενη διαμόρφωση Mozilla για προστασία με ευπάθειες SSL/TLS.
Ως ιδιοκτήτης ιστότοπου ή μηχανικός ασφαλείας, θα πρέπει να εκτελείτε τακτικά μια σάρωση ασφαλείας στον ιστότοπό σας για να μάθετε για τυχόν νέα τρωτά σημεία και να λαμβάνετε ειδοποίηση.
Μπορεί επίσης να σας ενδιαφέρει να διορθώσετε την επίθεση Logjam.
Σας άρεσε να διαβάζετε το άρθρο; Τι θα λέγατε να μοιράζεστε με τον κόσμο;