Sweet32 funziona su servizi che non utilizzano sessioni / cookie Web (come FTP)?

3

Lo scanner Saintbot PCI / Vuln (tramite Controlscan) segnala la porta FTP 21 vulnerabile a Sweet32, basata sull'esistenza di un codice di "grado C" 3DES.

La correzione è semplice: aggiorna i codici disponibili per essere più sicuro. Tuttavia Cpanel v62 ha un "problema" attuale in cui la loro versione di PureFTP non obbedisce ai codici impostati in pure-ftpd.conf.

Questo causa un errore PCI fino a quando passiamo a ProFTP. Non vogliamo davvero farlo .... affatto.

La domanda è, può / funziona Sweet32 funzionare anche con connessioni "autenticate" di tipo FTP o simili? Voglio attestare la loro scoperta, a meno che non sia effettivamente possibile disattivare questo attacco su tunnel non Web.

    
posta dhaupin 15.02.2017 - 21:44
fonte

1 risposta

2

Sweet32 non attacca specificamente l'autenticazione ma cerca di estrarre segreti contenuti in tipi di dati strutturati, parzialmente noti e molto grandi. Le informazioni di autenticazione nell'intestazione HTTP si adattano a questa descrizione se è possibile inviare molte richieste HTTP sulla stessa connessione TLS. Ma a seconda del tipo, della quantità e della sensibilità dei dati trasferiti con FTP, ciò può costituire un problema anche per l'FTP.

    
risposta data 15.02.2017 - 23:06
fonte

Leggi altre domande sui tag