Vai jūsu vietne ir aizsargāta pret FREAK Attack?
Tīmekļa drošība notiek šajās dienās. Drošības ekspertam vienmēr ir kaut kas, kas būtu aizņemts, un ievainojamības nosaukums ir nedaudz pievilcīgs, piemēram, Heart Bleed, Poodle un tagad arī Freak Attack.
Šajā rokasgrāmatā es paskaidrošu, kā noteikt, vai jūsu vietne ir ietekmēta, un ievainojamību novēršanas procedūru.
Ievads
Ja jūs interesē vai nezināt par Freak Attack, tad šeit ir daži vārdi. Kartikejans Bhargavans atklāja FREAK uzbrukuma ievainojamību INRIA Parīzē.
2015. gada 3. martā tika paziņots, ka jaunā SSL/TLS ievainojamība ļaus uzbrucējam pārtvert HTTPS savienojumu starp neaizsargāto klientu un serveri un piespiest tos izmantot vāju šifrēšanu. Tas palīdzēs uzbrucējam nozagt sensitīvus datus vai manipulēt ar tiem.
Pārbaudiet, vai jūsu serveris nav ievainojams
Ja jūsu tīmekļa serveris pieņem RSA_EXPORT šifru komplektus, jūs esat pakļauts riskam. Varat pārbaudīt savu HTTPS URL, izmantojot šo saiti.
Novērsiet FREAK Attack drošības ievainojamību
Apache HTTP serveris — varat atspējot EXPORT šifra komplektus, pievienojot tālāk norādīto httpd.conf vai SSL konfigurācijas failu.
SSLCipherSuite !EXPORT
Iespējams, jūsu konfigurācijas failā jau ir SSLCipherSuite rinda. Ja tā, tad rindas beigās vienkārši jāpievieno !EXPORT.
Ja esat iesācējs konfigurācijā, varat izlasīt manu Apache tīmekļa servera drošības un nostiprināšanas rokasgrāmatu.
Nginx — pievienojiet tālāk norādīto konfigurācijas failam.
ssl_ciphers '!EXPORT';
Turklāt jūs varat izmantot SSL konfigurācijas ģenerators vai Mozilla ieteicamā konfigurācija lai aizsargātu ar SSL/TLS ievainojamību.
Kā vietnes īpašniekam vai drošības inženierim jums regulāri jāveic vietnes drošības pārbaude, lai noskaidrotu, vai nav jaunu ievainojamību, un saņemtu paziņojumu.
Iespējams, jūs interesē arī Logjam uzbrukuma labošana.
Vai jums patika lasīt rakstu? Kā būtu ar dalīšanos ar pasauli?