SSL - Change_cipher protegge dal downgrade?

Question

SSL - Change_cipher protegge dal downgrade?

#1 da (1 voti)

1

Un estratto di uno dei miei corsi su SSL / TLS dice quanto segue,

Questo estratto è subito dopo la fase Finitura stretta di mano di SSL (con change_cipher_spec e finished messaggi).

Role of the finish phase : counter the downgrade attack.

An attacker could have removed the cipher suites with strong encryption from the client_hello message, causing the entities to agree upon a weaker cipher.

Qual è il change_cipher_spec utile per contrastare l'attacco di downgrade?

Se un utente attaccato avrebbe rimosso il metodo di crittografia strong e ne avrebbe lasciato solo quelli deboli, dal momento che change_cipher_spec sceglie un cifrario da client_hello , qual è l'utilità? Cosa mi manca?

tls tls-downgrade

posta Arthur Attout 04.06.2018 - 22:45

fonte

1 risposta

Leggi altre domande sui tag tls tls-downgrade

Buffer Overflow problem [chiuso] Reindirizzamento URI con solo parametri di query

score 1 · Accepted Answer

La finitura dell'handshake viene eseguita sia con il messaggio ChangeCipherSpec che con il messaggio Fine come stato corretto. Ma poi concludi erroneamente "Ruolo della fase finale: neutralizza l'attacco di downgrade". che ChangeCipherSpec è quello che protegge dall'attacco di downgrade. Solo che non lo è: il messaggio finito viene invece utilizzato per contrastare questo attacco.

Questa protezione funziona perché il messaggio Finito è costituito da un hash che include tutti i messaggi di handshake. In caso di un downgrade, l'utente malintenzionato ha modificato ClientHello in transito e il server ha un'idea diversa dei messaggi di handshake inviati dal client rispetto al client stesso. Ciò significa che il messaggio Finito creato dal client e ricevuto dal server non incide sulle aspettative del server e quindi l'handshake verrà interrotto.