Kā pārbaudīt FREAK Attack (CVE-2015-0204) un labot?

Vai jūsu vietne ir aizsargāta pret FREAK Attack?

Tīmekļa drošība notiek šajās dienās. Drošības ekspertam vienmēr ir kaut kas, kas būtu aizņemts, un ievainojamības nosaukums ir nedaudz pievilcīgs, piemēram, Heart Bleed, Poodle un tagad arī Freak Attack.

Šajā rokasgrāmatā es paskaidrošu, kā noteikt, vai jūsu vietne ir ietekmēta, un ievainojamību novēršanas procedūru.

Ievads

Ja jūs interesē vai nezināt par Freak Attack, tad šeit ir daži vārdi. Kartikejans Bhargavans atklāja FREAK uzbrukuma ievainojamību INRIA Parīzē.

  7 veidi, kā novērst MSI spēļu lietotnes neatvēršanu

2015. gada 3. martā tika paziņots, ka jaunā SSL/TLS ievainojamība ļaus uzbrucējam pārtvert HTTPS savienojumu starp neaizsargāto klientu un serveri un piespiest tos izmantot vāju šifrēšanu. Tas palīdzēs uzbrucējam nozagt sensitīvus datus vai manipulēt ar tiem.

Pārbaudiet, vai jūsu serveris nav ievainojams

Ja jūsu tīmekļa serveris pieņem RSA_EXPORT šifru komplektus, jūs esat pakļauts riskam. Varat pārbaudīt savu HTTPS URL, izmantojot šo saiti.

Novērsiet FREAK Attack drošības ievainojamību

Apache HTTP serveris — varat atspējot EXPORT šifra komplektus, pievienojot tālāk norādīto httpd.conf vai SSL konfigurācijas failu.

SSLCipherSuite !EXPORT

Iespējams, jūsu konfigurācijas failā jau ir SSLCipherSuite rinda. Ja tā, tad rindas beigās vienkārši jāpievieno !EXPORT.

  Kā pielāgot Steam meklēšanas iestatījumus

Ja esat iesācējs konfigurācijā, varat izlasīt manu Apache tīmekļa servera drošības un nostiprināšanas rokasgrāmatu.

Nginx — pievienojiet tālāk norādīto konfigurācijas failam.

ssl_ciphers '!EXPORT';

Turklāt jūs varat izmantot SSL konfigurācijas ģenerators vai Mozilla ieteicamā konfigurācija lai aizsargātu ar SSL/TLS ievainojamību.

Kā vietnes īpašniekam vai drošības inženierim jums regulāri jāveic vietnes drošības pārbaude, lai noskaidrotu, vai nav jaunu ievainojamību, un saņemtu paziņojumu.

Iespējams, jūs interesē arī Logjam uzbrukuma labošana.

Vai jums patika lasīt rakstu? Kā būtu ar dalīšanos ar pasauli?