关于SSL网站的好消息就是:大多数SSL网站都运行着强大的加密技术。坏消息就是:超过60%的网站配置不当。Qualys公司的工程、网络应用程序防 火墙和SSL主管和兼究人员Ivan Ristic公布了他对1.2亿注册域名的研究结果。Ristic发现其中2000万注册域名支持SSL,而只有72万可能包含有效SSL证书,“这是非 常小的比例,但是这并不真正意味着只有一小部分网站在使用SSL,据我们所知,”Ristic表示。
更能说明问题的是,在所有SSL网站中,一半以上在使用SSLv2,这是较旧版本的SSL,并且不安全。只有38%的SSL网站配置良好,而 32%在协议中包含之前曝光的重新谈判漏洞。
与此同时,研究人员Robert Hansen and Josh Sokol详细说明了针对浏览器的HTTPS/SSL的24种利用技术,利用的是中间人攻击。其中包括:cookie中毒和注入恶意内容到浏览器标签。研究人员警告说,HTTPS并不能保证浏览器的保密性和完整性。
“天并没有塌下来,但是目前来说,SSL是相当脆弱的,”Hansen在黑帽大会中表示,“需要有适当的标签隔离、cookie沙盒等。”他推荐使用单独的浏览器来访问包含敏感信息的网站。
同时,Ristic表示,虽然SSL网站的状态在安全方面来说很“一般”,不过现在SSL还很少被攻击者攻击。“我认为,SSL并不是现在常见的攻击向量,因为还有更多更容易攻击的对象,现在我们应该开始修复SSL的问题,这是可以修复的问题。”
三分之二的SSL网站使用的是默认设置,这使它们很容易受到攻击,“为了解决这个问题,你应该提高警惕,与最终用户或者供应商交谈,看看是否能实现更好的配置,这可能也是更可行的解决方案,”Ristic表示。例如,对SSL服务器中不安全协议的默认支持就是一个常见错误问题。
“要配置好SSL服务器只需要花15分钟,为证书选择密钥尺寸,禁用不安全协议,并禁用不安全密码。”
而不安全的SSLv2很容易受到中间人攻击,虽然该版本SSL在大多数主流浏览器中已经禁用,但仍然运行很多SSL网站,“最可悲的就是,超过一半SSL网站支持SSL2,几年来,我们一直知道这是不安全的。”
他发现,而在SSL网站,反而很少或者不支持较安全的TLS1.1和1.2协议。
但调查发现,大多数SSL网站都使用了强大的加密技术,128位甚至更高。整体而言,Ristic表示,只有38.4%的SSL网站在安全和配置方面能够得到A,而只有61.46%可以得到B或者更低分。Ristic计划公布此次调查的所有数据,并且计划每年进行一次调查。
更能说明问题的是,在所有SSL网站中,一半以上在使用SSLv2,这是较旧版本的SSL,并且不安全。只有38%的SSL网站配置良好,而 32%在协议中包含之前曝光的重新谈判漏洞。
与此同时,研究人员Robert Hansen and Josh Sokol详细说明了针对浏览器的HTTPS/SSL的24种利用技术,利用的是中间人攻击。其中包括:cookie中毒和注入恶意内容到浏览器标签。研究人员警告说,HTTPS并不能保证浏览器的保密性和完整性。
“天并没有塌下来,但是目前来说,SSL是相当脆弱的,”Hansen在黑帽大会中表示,“需要有适当的标签隔离、cookie沙盒等。”他推荐使用单独的浏览器来访问包含敏感信息的网站。
同时,Ristic表示,虽然SSL网站的状态在安全方面来说很“一般”,不过现在SSL还很少被攻击者攻击。“我认为,SSL并不是现在常见的攻击向量,因为还有更多更容易攻击的对象,现在我们应该开始修复SSL的问题,这是可以修复的问题。”
三分之二的SSL网站使用的是默认设置,这使它们很容易受到攻击,“为了解决这个问题,你应该提高警惕,与最终用户或者供应商交谈,看看是否能实现更好的配置,这可能也是更可行的解决方案,”Ristic表示。例如,对SSL服务器中不安全协议的默认支持就是一个常见错误问题。
“要配置好SSL服务器只需要花15分钟,为证书选择密钥尺寸,禁用不安全协议,并禁用不安全密码。”
而不安全的SSLv2很容易受到中间人攻击,虽然该版本SSL在大多数主流浏览器中已经禁用,但仍然运行很多SSL网站,“最可悲的就是,超过一半SSL网站支持SSL2,几年来,我们一直知道这是不安全的。”
他发现,而在SSL网站,反而很少或者不支持较安全的TLS1.1和1.2协议。
但调查发现,大多数SSL网站都使用了强大的加密技术,128位甚至更高。整体而言,Ristic表示,只有38.4%的SSL网站在安全和配置方面能够得到A,而只有61.46%可以得到B或者更低分。Ristic计划公布此次调查的所有数据,并且计划每年进行一次调查。
华山资源网 Design By www.eoogi.com
广告合作:本站广告合作请联系QQ:858582 申请时备注:广告合作(否则不回)
免责声明:本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除!
免责声明:本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除!
华山资源网 Design By www.eoogi.com
暂无评论...
《魔兽世界》大逃杀!60人新游玩模式《强袭风暴》3月21日上线
暴雪近日发布了《魔兽世界》10.2.6 更新内容,新游玩模式《强袭风暴》即将于3月21 日在亚服上线,届时玩家将前往阿拉希高地展开一场 60 人大逃杀对战。
艾泽拉斯的冒险者已经征服了艾泽拉斯的大地及遥远的彼岸。他们在对抗世界上最致命的敌人时展现出过人的手腕,并且成功阻止终结宇宙等级的威胁。当他们在为即将于《魔兽世界》资料片《地心之战》中来袭的萨拉塔斯势力做战斗准备时,他们还需要在熟悉的阿拉希高地面对一个全新的敌人──那就是彼此。在《巨龙崛起》10.2.6 更新的《强袭风暴》中,玩家将会进入一个全新的海盗主题大逃杀式限时活动,其中包含极高的风险和史诗级的奖励。
《强袭风暴》不是普通的战场,作为一个独立于主游戏之外的活动,玩家可以用大逃杀的风格来体验《魔兽世界》,不分职业、不分装备(除了你在赛局中捡到的),光是技巧和战略的强弱之分就能决定出谁才是能坚持到最后的赢家。本次活动将会开放单人和双人模式,玩家在加入海盗主题的预赛大厅区域前,可以从强袭风暴角色画面新增好友。游玩游戏将可以累计名望轨迹,《巨龙崛起》和《魔兽世界:巫妖王之怒 经典版》的玩家都可以获得奖励。
更新日志
2024年09月22日
2024年09月22日
- 玩家分享《黑神话:悟空》大怨种:想痛快玩游戏花了快400块
- 作者回应《黑神话》墙绘被毁:当地相关部门支持重绘
- 李泉.1995-上海梦【魔岩】【WAV+CUE】
- 何雨雯.1994-给你的歌【天王唱片】【WAV+CUE】
- 群星.1994-神摇第一章·极乐扬州路【D.I.Y】【WAV+CUE】
- 《车烧友 发烧情歌天碟3CD》[WAV/分轨][1.9GB]
- 《薛之谦 情歌不变招牌 霸气情歌2CD》[WAV/分轨][1.2GB]
- 《刘若英 滚石SACD精选》[ISO][1GB]
- 仙境传说新启航牧师怎么加点 牧师属性技能加点推荐
- 仙境传说新启航舞娘怎么加点 舞娘属性技能加点推荐
- 魔兽世界祖尔格拉布在哪 魔兽世界祖尔格拉布位置介绍
- 群星《名列前茅五大顶级发烧男声》2CD[DTS-WAV]
- 群星《经典再现·国语女声》2CD[DTS-WAV]
- 群星《十大民歌天后》2CD[DTS-WAV分轨]
- 《黑神话:悟空》浮屠牢是最糟糕的部分:但也是做得最好的