Ci sarebbe un attacco MITM che potrebbe anche risolvere la vulnerabilità di cuore? [chiuso]

Question

Ci sarebbe un attacco MITM che potrebbe anche risolvere la vulnerabilità di cuore? [chiuso]

#1 da (2 voti)

1

Ho letto questo post askbuntu , il passaggio per risolvere la vulnerabilità senza cuore quasi: 1. aggiorna openssl. 2. genera nuove chiavi. 3. revocare i vecchi certificati.

Alcuni post dicono che gli hacker potrebbero avere le chiavi private del tuo server.
Se c'è la possibilità che gli attaccanti possano usare i tuoi vecchi certificati e le tue chiavi private, MITM attacca?

Non sono sicuro della verifica dei certificati del browser web. Forse qualcuno può dare una spiegazione più chiara.
questo post Informazioni sui controlli di revoca dei certificati , sembra che alcuni dei browser predefiniti non eseguano la revoca dei certificati del server.

certificates man-in-the-middle heartbleed

posta ehoc 09.04.2014 - 05:40

fonte

1 risposta

Leggi altre domande sui tag certificates man-in-the-middle heartbleed

Divisione della suite IP? Sicurezza dei router con ponte

score 2 · Answer 1

I pensa Capisco la domanda come:

If a servers' private keys have been compromised, won't a MITM attack be possible even if the heartbleed vulnerability has been patched? (given that not all browsers mandate Certificate Revocation List (CRL) checking?)

E credo che la risposta sia davvero si .

L'applicazione di patch contro la vulnerabilità heartbleed impedisce ulteriori informazioni sul contenuto della memoria del server. Generare nuove chiavi è una precauzione nel caso in cui le vecchie chiavi perdessero. Revocare le vecchie chiavi aggiungendole al CRL è una notifica pubblica che le vecchie chiavi non sono più valide.

Tuttavia, come hai notato, non tutti i browser controllano accuratamente i CRL per impostazione predefinita. Il testo seguente è riepilogato da un articolo Netcraft pubblicato da Robert Duncan il 13 maggio 2013, quindi potrebbe non essere interamente preciso):

Firefox does not download CRLs for websites which use the most popular types of SSL certificate (all types of certificate except EV which is usually displayed with a green bar)...even if OCSP were available, by default Firefox will only check the validity of the server's certificate and not attempt to check the entire chain of certificates (again, except for EV certificates).

Neither Google Chrome on Android nor Safari on iOS present a warning to the user even after being reset. Safari on iOS does not make revocation checks at all except for Extended Validation certificates and did not make requests for the CRL which would have triggered the revocation error message.

Google Chrome, by default, does not make standard revocation checks for non-EV certificates...

Microsoft's web browser, Internet Explorer is one of the most secure browsers in this context. It fetches revocation information (with a preference for OCSP, but will fallback to CRLs) for the server's certificate and the rest of the certificate chain...

Along with Internet Explorer, Opera is secure by default: it prevents access to the webpage. Opera checks the entirety of the certificate chain using either OCSP or CRLs where appropriate.

Quindi sarebbe corretto (credo) concludere che il rischio di attacchi MITM contro le connessioni TLS è aumentato significativamente. Dall'articolo collegato, un buon modo per proteggersi da tali attacchi sarebbe utilizzare IE o Opera quando visiti siti web importanti .