Domande con tag 'tls-downgrade'

domande con tag
2
risposte

Devo usare la rinegoziazione SSL / TLS?

Devo usare la rinegoziazione SSL / TLS? In altre parole: la rinegoziazione SSL / TLS migliora o indebolisce la sicurezza?     
posta 27.11.2012 - 08:31
2
risposte

Che cosa succede se STARTTLS viene rilasciato in SMTP?

SMTP utilizza l'estensione STARTTLS per aggiornare SMTP a SMTP Secure (STMPS). Secondo la RFC , il client e il server avvia TLS come segue: S: <waits for connection on TCP port 25> C: <opens connection> S: 220 mail.imc.org S...
posta 07.09.2017 - 20:23
1
risposta

Implicazioni sulla sicurezza di un SCSV mancante, ma con solo TLS 1.2 consentito

Simile a questo security stackexchange question , mi chiedevo se c'è qualche svantaggio, considerando la sicurezza dei servizi / server, se only TLS 1.2 è permesso, ma TLS Fallback Signaling Cipher Suite Value (SCSV) per la prevenzione degli...
posta 09.06.2017 - 14:22
1
risposta

Limita le suite di crittografia all'interno di specifiche versioni di protocollo

Devo disattivare i cifrari deboli all'interno di una versione di protocollo debole, ovvero TLS 1.0, su un server Windows 2012 R2 con IIS. Comprendo che le suite di crittografia sono legate al protocollo, ad esempio TLS_ECDHE_ECDSA_WITH_AES_256_G...
posta 24.08.2016 - 13:33
1
risposta

Obiettivi di TLS_FALL_SCSV e messaggio finito

Non sono sicuro, posso dire lo scopo di un TLS_FALLBACK_SCSV. Può prevenire qualsiasi attacco che il messaggio finito non può? Per quanto ho capito, il messaggio FIN funge da codice di autenticazione che impedisce agli aggressori attivi di ab...
posta 28.02.2017 - 16:19
1
risposta

Come abilitare SOLO TLS 1.2 in Java, bloccando SSL TLS1.0 e TLS 1.1 [chiuso]

Sto creando il mio contesto SSL in questo modo: SSLContext ret = SSLContext.getInstance("TLSv1.2"); Quando sono entrato in firefox e l'ho forzato per disabilitare TLS1.2, ho notato che la pagina è ancora caricata usando TLS1.1 Vorrei ess...
posta 03.11.2016 - 01:19
1
risposta

Perché dovrebbe ancora essere utilizzato TLSv1.0 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA?

In primo luogo, potrei fare una domanda stupida. Sto cercando di imparare, quindi per favore, prenditela con calma. In secondo luogo, se questo non è il posto giusto per questa domanda, o puoi collegarmi altrove, per favore dimmi / fallo....
posta 19.09.2018 - 03:52
1
risposta

Perché TLS non firma ciphersuite?

TLS negozia una versione ciphersuite e TLS da utilizzare durante l'handshake. Conferma che la stretta di mano non è stata manomessa e la versione di ciphersuite e TLS non è stata sottoposta a downgrade utilizzando le crittografie negoziate, come...
posta 27.04.2018 - 13:53
1
risposta

In che modo un utente malintenzionato può eseguire il downgrade / modifica delle suite di crittografia quando sono MAC? (Freak, Logjam usa attacchi di downgrade)

Nell'handshake di Finished di TLS tutti i messaggi precedenti scambiati vengono inviati dal client al server (e invertiti) e protetti da un MAC. Questo è anche ciò che "impedisce "TLS_FALLBACK_SCSV da essere modificato / eliminato da un u...
posta 21.02.2016 - 12:15
1
risposta

SSL - Change_cipher protegge dal downgrade?

Un estratto di uno dei miei corsi su SSL / TLS dice quanto segue, Questo estratto è subito dopo la fase Finitura stretta di mano di SSL (con change_cipher_spec e finished messaggi). Role of the finish phase : counter the down...
posta 04.06.2018 - 22:45