Dedikuoti serveriai, VDS hostingas, debesų kompiuterija
Interneto vizija
Karjera El. paštas

Grįžti   Dedikuoti.lt forumas > Dedikuoti.lt paslaugos > Naujienos, pranešimai

Atsakyti
 
Temos įrankiai Ieškoti šioje temoje
  #1  
Senas 2014-11-27, 10:49
IV_RomanL avataras
IV_RomanL IV_RomanL neprisijungęs
Interneto vizija
 
Prisiregistravo: 2011 11
Vieta: Vilnius
Žinutės: 640
Exclamation SSL v3.0 protokolo saugumo spraga

Aprašymas

SSL - saugaus sujungimo lygmuo (angl. Secure Sockets Layer) t.y. kriptografinis protokolas, skirtas informacijos, sklindančios internete apsaugojimui šifruojant. SSL protokolas naudojamas interneto naudotojo programinės įrangos ir tarnybinės stoties programinės įrangos komunikacijos šifravimui. SSL protokolas dažniausiai naudojamas interneto svetainėse, siekiant užtikrinti visos puslapiuose įvedamos informacijos privatumą ir saugumą.

SSL v3.0 protokolo blokinio šifravimo algoritmo aptikta saugumo spraga ("POODLE attack”), piktavaliui suteikia galimybę vykdyti „Man in the middle“ ataką ir tokiu būdų iššifruoti sujungimą, bei periimti visus perduodamus interneto naudotojo duomenis.

CERT-LT rekomenduoja

a) išjungti SSL v3.0 protokolo palaikymą, tokiu atveju bus naudojamos senesnės SSL protokolo versijos;
b) naudoti kitą šifravimo algoritmą SSL v3.0 protokole;
c) atnaujinti SSL v3.0 tarnybinių stočių programinę įrangą, kad palaikytų SCSV protokolą. Ši saugumo spraga nebus išnaudojama tik tuo atveju jei vartotojo programinė įranga ir tarnybinės stoties programinė įranga palaikys SCSV protokolą.

SSL v3.0 palaikymo išjungimas tarnybinėse stotyse (serveriuose)

- “Apache” HTTP tarnybinė stotis:

Tarnybinės stoties ssl konfigūraciniame faile pridėti nenaudojamus protokolus:

Kodas:
SSLProtocol All -SSLv2 -SSLv3
- "Nginx" HTTP tarnybinė stotis:

Tarnybinės stoties ssl konfigūraciniame faile pridėti naudojama ssl protokolų sąrašą:

Kodas:
ssl_protocols TLSv1 TLSv1.1 TLSv1.2
- "Postfix" SMTP tarnybinė stotis:

Tarnybinės stoties main.cf konfigūraciniame faile pridėti šią eilutę:

Kodas:
smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
Įrankiai patikrinimui

POODLE saugumo spragos patikrai serveriuose: http://poodlebleed.com/

Informacijos šaltiniai

1. SSL 3.0 Protocol Vulnerability and POODLE Attack
2. OpenSSL Security Advisory [15 Oct 2014]
3. This POODLE Bites: Exploiting The SSL 3.0 Fallback
Atsakyti su citata
  #2  
Senas 2014-11-27, 11:28
domenai domenai neprisijungęs
Naujokas (-ė)
 
Prisiregistravo: 2012 01
Žinutės: 49
Pagrindinis Ats: SSL v3.0 protokolo saugumo spraga

/etc/httpd/conf.d/ssl.conf
iterpiant jusu mineta eilute metama sintakses klaida
Atsakyti su citata
  #3  
Senas 2014-11-27, 11:47
IV_RomanL avataras
IV_RomanL IV_RomanL neprisijungęs
Interneto vizija
 
Prisiregistravo: 2011 11
Vieta: Vilnius
Žinutės: 640
Pagrindinis Ats: SSL v3.0 protokolo saugumo spraga

Pataisėme komandas kurias reikia nurodyti konfigūraciniuose failuose.
Atsakyti su citata
  #4  
Senas 2014-11-27, 13:36
domenai domenai neprisijungęs
Naujokas (-ė)
 
Prisiregistravo: 2012 01
Žinutės: 49
Pagrindinis Ats: SSL v3.0 protokolo saugumo spraga

apache komanda liko tokia pati
Atsakyti su citata
  #5  
Senas 2014-11-27, 13:50
IV_RomanL avataras
IV_RomanL IV_RomanL neprisijungęs
Interneto vizija
 
Prisiregistravo: 2011 11
Vieta: Vilnius
Žinutės: 640
Pagrindinis Ats: SSL v3.0 protokolo saugumo spraga

Apache komanda yra pataisyta, pašalinant kabliataškį gale. Patikslinkite prašau, ar eilutė:

Kodas:
SSLProtocol All -SSLv2 -SSLv3
Vis dar sukelia problemų perkraunant apache serverį? Jei taip, pateikite klaidos pranešimą.
Atsakyti su citata
  #6  
Senas 2014-11-28, 03:27
domenai domenai neprisijungęs
Naujokas (-ė)
 
Prisiregistravo: 2012 01
Žinutės: 49
Pagrindinis Ats: SSL v3.0 protokolo saugumo spraga

Problema isspresta. Jusu duota eilute nedave efekto, bet ji dave sis pakoregavimas:
Citata:
# SSL Protocol support:
# List the enable protocol levels with which clients will be able to
# connect. Disable SSLv2 access by default:
SSLProtocol all -SSLv3
Atsakyti su citata
Atsakyti

Žymės
poodle, sslv3

Temos įrankiai Ieškoti šioje temoje
Ieškoti šioje temoje:

Detali paieška

Žinučių rašymo taisyklės
Jūs negalite kurti naujų temų
Jūs negalite rašyti žinučių
Jūs negalite įkelti failų
Jūs negalite redaguoti savo įrašų

BB kodas yra Įjungtas
Šypsenos yra Įjungtas
[IMG] kodas yra Įjungtas
HTML kodas yra Išjungtas

Greita navigacija

Panašios temos
Tema Temą sukūrė Forumas Atsakymai Paskutinė žinutė
SSLv3/Poodle tarnybos saugumo spraga domenai Pagalba 1 2014-11-27 10:51
"Netbios_reflected_DDoS" poteinciali saugumo spraga IV_VygandasS Naujienos, pranešimai 0 2014-05-05 16:55
Suhosin - PHP saugumo stiprinimas IV_RomanL Serverių saugumas 0 2012-12-27 14:10
API saugumo padidinimas neworld Klausimai, pastabos, pasiūlymai 1 2012-11-07 10:10
OpenSSH (SSH) saugumo didinimas IV_RomanL Serverių saugumas 1 2012-02-20 22:41


Visi laikai yra GMT +3. Šiuo metu yra 18:19.


Powered by vBulletin®
Copyright ©2000 - 2019, vBulletin Solutions, Inc.