Sto avendo attacchi di downgrade del protocollo sul mio sito Web, e ho visto la soluzione fare TLS Fallback Signaling Cipher Suite Value (SCSV) per prevenire attacchi di downgrade del protocollo.
Qualcuno può suggerire come possiamo implementare l'SCSV? Sono davvero nuovo ai server Web e alla sicurezza e apprezzerei una soluzione passo passo.
Entrambi, il client e il server devono supportarlo per farlo funzionare. TLS Fallback SCSV viene utilizzato come suite di crittografia di segnalazione (TLS_FALLBACK_SCSV, valore 0x5600) durante l'handshake. Tutti i nuovi browser (client) lo supportano. Sul server, lo abiliterai aggiornando OpenSSL.
Dal link :
OpenSSL 1.0.1 users should upgrade to 1.0.1j
OpenSSL 1.0.0 users should upgrade to 1.0.0o
OpenSSL 0.9.8 users should upgrade to 0.9.8zc
Debian e altre distribuzioni stanno implementando backport dell'aggiornamento TLS-FALLBACK-SCSV su OpenSSL.
Inoltre, l'aggiornamento da solo non è sufficiente. Devi disabilitare SSLv2 e SSLv3.
Leggi altre domande sui tag tls