Quanto è sicura l'implementazione Microsoft Windows 7 di SCHnel di TLS 1.2, pronta all'uso?

0

Domanda teorica: c'è qualche ragione per cui un client non può utilizzare in modo sicuro l'implementazione Microsoft Windows 7 di SChannel di TLS 1.2 "out of the box", come in nessun aggiornamento? Dopo aver esaminato le vulnerabilità di SChannel nel database delle vulnerabilità nazionali NIST, sembra che ce ne siano almeno 5 conosciute:

  1. CVE-2014-6321 a.k.a "Winshock"
  2. CVE-2015-1716
  3. CVE-2015-6112 "Triplo handshake attack"
  4. CVE-2015-1637 a.k.a attacco "FREAK"
  5. CVE-2010-3229 "Vulnerabilità DDOS TLSv1"

Tuttavia, sembra che se si implementa TLS v1.2 nel modo corretto è possibile evitare questi problemi (anche se potrei esserlo e probabilmente sono completamente sbagliato qui). Ancora una volta, questa è solo una domanda teorica, ma deriva da una conversazione sull'utilizzo di TLS 1.2 su un sistema Windows 7 con il minor numero possibile di aggiornamenti e dipendenze e nessuna libreria open source.

    
posta ajq88 07.10.2016 - 13:39
fonte

1 risposta

1

... it seems if you implement TLS v1.2 in the correct manner you can avoid these issues ...

Alcuni CVE che hai elencato sono che TLS 1.2 non è stato implementato nel modo corretto, contraddicendo la tua ipotesi. Ad esempio Winshock è un problema di implementazione che l'esecuzione di codice in modalità remota sul lato server TLS. Altri sono problemi nello standard stesso, vale a dire che gli attacchi triplo handshake funzionano anche se lo standard è correttamente implementato.

Ciò significa che un Windows 7 senza patch è vulnerabile a questi attacchi, non importa se TLS 1.2 è stato correttamente implementato sul sistema (che non lo era) o meno.

    
risposta data 07.10.2016 - 14:17
fonte

Leggi altre domande sui tag