Your browser does not support JavaScript!
:::
:::
【漏洞預警】SSLv3加密協定存在中間人攻擊弱點

此漏洞可能讓駭客透過Poodle攻擊,竊取資料。建議停用SSLv3支援選項改以TLSv1.2作為加密協定。

 

原發佈內容如下:

 

教育機構ANA通報平台

 

發佈編號        TACERT-ANA-2014102008102525

發佈時間        2014-10-20 15:00:00

事故類型        ANA-漏洞預警       

發現時間        2014-10-16 00:00:00

影響等級           

 

主旨:

【漏洞預警】SSLv3加密協定存在中間人攻擊弱點,弱點編號CVE-2014-3566 (POODLE)

 

[內容說明:]

 

轉發國家資通安全會報 技術服務中心 漏洞/資安訊息警訊 ICST-ANA-2014-0020

 

近期美國國家標準技術研究所(NIST)的國家弱點資料庫(NVD)發布弱點編號CVE-2014-3566 (POODLE) [1-5],透過該弱點駭客可在客戶端與伺服器兩端均使用SSLv3加密協定建立連線時進行中間人攻擊,藉由攔截與修改HTTPS封包資訊的方式,嘗試向伺服器主機建立連線,進而獲取使用者的相關傳輸數據與機敏資訊(cookies, and/or authorization header contents)

 

為確保平台安全性,請各單位確認所屬瀏覽器設定與系統平台(工作站主機及伺服器)所使用的SSL/TLS版本資訊,建議停用SSLv3支援選項改以TLSv1.2作為加密協定。如系統平台不支援TLS加密連線機制,請儘速更新修補SSL相關套件。

 

[影響平台:]

 

使用SSLv3加密連線機制的系統平台(工作站主機及伺服器)

 

[建議措施:]

 

【系統平台(工作站主機及伺服器)

1.停用SSL加密機制改以TLS確保加密連線機制的強健性

 

停用SSL相關加密機制(SSLv3SSLv2),並建議以TLS(v1.2)進行加密連線作業。

 

如系統平台使用Apache作為網頁伺服器,可調整SSL設定為 SSLProtocol +TLSv1 +TLSv1.1 +TLSv1.2 以停用對SSLv3的支援,並啟用TLS加密連線機制。

 

2.對於僅支援SSL的系統平台,請儘速至各系統官方網站更新修補SSL相關套件。目前OpenSSL官方已針對SSLv3 (POODLE)弱點發布最新的更新版本,OpenSSL 1.0.1版本使用者請更新至1.0.1j版本[8]

 

3.參考以下方式確認系統SSL/TLS版本資訊:

[工具1] 使用TestSSLServer工具[6] 檢視系統平台上所支援的SSL/TLS加密協定與版本

 

使用指令 TestSSLServer.exe [IP位置] 指定系統平台位置資訊,以檢視系統平台(工作站主機及伺服器)所使用的SSL/TLS版本資訊。附件圖1為使用TestSSLServer工具檢視SSL/TLS版本範例,如發現SSLv3(1中紅色標示處),即代表系統平台支援SSLv3的加密機制。

 

[工具2] 使用線上分析工具[7],檢視系統平台上所支援的SSL/TLS版本資訊。線上工具分析完成後會產出對應的報告資訊,並詳列支援的加密機制,詳見附件圖2,由於有偵測到SSLv3,因此標示為不安全。

 

【使用者端(瀏覽器)

 

建議參考以下方式確認使用者端瀏覽器所支援的SSL/TLS版本資訊

 

[IE] 瀏覽器工具列-> 網際網路選項->進階->安全性(詳見附件圖3)

 

取消勾選瀏覽器SSL相關加密連線的支援選項[9],確認開啟TLS加密連線相關設定,調整設定後可透過線上檢查工具[9-10]檢測瀏覽器相關設定是否存在SSLv3 (POODLE) 弱點的風險。

 

附件圖檔案下載網址:http://cert.tanet.edu.tw/pdf/dog.rar

 

[參考資料:]

 

1.http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3566

2.https://www.openssl.org/~bodo/ssl-poodle.pdf

3.http://arstechnica.com/security/2014/10/ssl-broken-again-in-poodle-attack/

4.https://community.qualys.com/blogs/securitylabs/2014/10/15/ssl-3-is-dead-killed-by-the-poodle-attack

5.http://www.ithome.com.tw/news/91571

6.http://www.bolet.org/TestSSLServer/

7.https://www.ssllabs.com/ssltest/index.html

8.https://www.openssl.org/news/openssl-notes.html

9.https://zmap.io/sslv3/

10.https://dev.ssllabs.com/ssltest/viewMyClient.html

 

國家資通安全會報 技術服務中心 ( http://www.icst.org.tw/ )

址: 台北市富陽街116

聯絡電話: 02-27339922

傳真電話: 02-27331655

電子郵件信箱: service@icst.org.tw

 

資訊中心敬啟

 

瀏覽數  
將此文章推薦給親友
請輸入此驗證碼
Voice Play
更換驗證碼
最後更新日期
2017-09-22