SSL - SSL v2サポートを無効にする理由は何ですか?


8

WebサーバーでSSLを設定するときは、SSL v2サポートを無効にする必要があると言っているガイドがたくさんあります。

その理由がわからない。誰かがなぜ私に言うことができますか?

回答:


12

ウィキペディア

SSL 2.0にはさまざまな欠陥があります。 1

  • メッセージの認証と暗号化には、同じ暗号鍵が使用されます。
  • SSL 2.0は、秘密のプレフィックスを持つMD5ハッシュ関数を使用するという弱いMAC構造を持っているため、長さ拡張攻撃に対して脆弱です。
  • SSL 2.0には、ハンドシェイクに対する保護はありません。つまり、中間者ダウングレード攻撃が検出されない可能性があります。
  • SSL 2.0はTCP接続を使用してデータの終わりを示します。これは、切り捨て攻撃が可能であることを意味します。攻撃者は単純にTCP FINを偽造し、受信者に不正なデータ終了メッセージを知らせないようにします(SSL 3.0では明示的なクロージャアラートを使用することでこの問題を解決します)。
  • SSL 2.0は、単一のサービスと固定ドメイン証明書を前提としています。これは、Webサーバーでの仮想ホスティングの標準機能と衝突します。これは、ほとんどのWebサイトがSSLの使用によって実質的に損なわれていることを意味します。 TLS / SNIはこれを修正しますが、まだWebサーバーには展開されていません。

1: http://en.wikipedia.org/wiki/Transport_Layer_Security#SSL_1.0.2C_2.0_and_3.0

弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.