Nella questa pagina , la prima cosa inviata è le impostazioni SSL, come la versione e le impostazioni di crittografia.
Se l'autore dell'attacco, ad esempio, desiderava cambiare il metodo di crittografia utilizzato, cosa lo rende impossibile?
Nella questa pagina , la prima cosa inviata è le impostazioni SSL, come la versione e le impostazioni di crittografia.
Se l'autore dell'attacco, ad esempio, desiderava cambiare il metodo di crittografia utilizzato, cosa lo rende impossibile?
La pietra angolare della sicurezza contro tale manomissione si trova nei messaggi Finished . Alla fine della stretta di mano, client e server si inviano reciprocamente questi messaggi, il cui contenuto è un hash dei contenuti di tutti i messaggi di handshake scambiati in precedenza. Se un utente malintenzionato modifica qualcosa in uno di questi messaggi, i messaggi di handshake, come visualizzato dal client, non corrisponderanno a ciò che il server ha visto e il contenuto del messaggio Finished sarà diverso. L'autore dell'attacco non può alterare in modo affidabile il contenuto dei messaggi Finished in tempo reale poiché vengono inviati dopo al passaggio all'algoritmo di crittografia appena negoziato, quindi sono crittografati e protetti da alterazioni.
L'unico modo per l'attaccante di sferrare un attacco del genere sarebbe forzare il client e il server a utilizzare una suite di crittografia che è così debole che l'hacker può rompere immediatamente tutto e quindi alterare i messaggi di Finished per abbinare le sue precedenti modifiche. Ma un'implementazione decente di SSL non supporta le suite di crittografia che sono così deboli (un tempo esistevano "suite di cifratura di esportazione" limitate a chiavi a 40 bit, ma non sono più supportate da librerie esistenti).
Per ulteriori informazioni su SSL, leggi questo .
Leggi altre domande sui tag authentication tls