capec - 217:利用错误配置SSL / TLS |
 描述
敌人利用错误配置SSL / TLS通信,使访问数据被加密。敌人也可以使用这种类型的攻击注入命令或其他交通工具加密流导致妥协的客户端或服务器。
扩展描述
SSL / TLS通信变得容易受到这种攻击时使用过时的版本和不安全的密码。目前,所有SSL版本弃用和TLS 1.0和1.1版也由于不安全的弃用。仍然可以为以后的TLS版本可能会没有安全感如果配置了3 des或RC4等不安全的密码。
攻击的可能性
执行流程
探索
确定SSL / TLS配置:确定的SSL / TLS配置服务器或客户目标,最好是两者兼而有之。这不是一个困难的要求,对手可以简单地假设通常可利用的配置设置,不分青红皂白地尝试他们。
| 技术 |
| 如果目标是一个网页,一些SSL / TLS的配置可以通过浏览器的安全信息,如关键尺寸和所使用的密码。 |
实验
拦截交流:提供受控地访问服务器的客户端,通过为客户提供一个链接点击,或定位自己在网络上的拦截和控制客户端和服务器之间的数据流,例如AiTM(中间的对手- capec - 94)。
| 技术 |
| 创建一个恶意网页看起来相同的目标网页,但航线客户端服务器的流量,这样的对手可以观察到中间的交通和执行adverary攻击。 |
| 如果对手访问网络,客户端或服务器上,可以尝试使用一个包嗅探器执行中间的敌人的攻击。 |
| 安装一个包嗅探器直接通过恶意软件到客户端设备,可以拦截SSL / TLS交通和执行中间的敌人的攻击。 |
利用
捕获或操纵敏感数据:一旦对手拦截安全通信的能力,他们利用SSL配置的错误来查看加密通信。对手可以选择记录安全通信或操作数据达到预期的效果。
| 技术 |
| 使用已知的利用老SSL和TLS版本。 |
| 使用已知的利用DES和RC4等弱密码。 |
先决条件
技能要求
|
(级别:高) 对手需要实时访问网络流量以这样一种方式,对手可以从SSL流获取所需信息,可能影响决定的加密方法和期权,并执行自动化分析破译加密材料恢复。工具来自动化任务的一部分,但成功地使用这些工具的攻击场景需要详细了解潜在的原则。 |
所需资源
| 敌人需要嗅交通的能力,选择能够路线说交通系统,交通的嗅探,并采取行动恢复交通。 |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
保密 |
读取数据 |
|
|
保密
访问控制
授权 |
获得特权 |
|
缓解措施
| 不要使用SSL,因为所有SSL版本已经打破,不应使用。如果TLS客户机或服务器不是一个选择,考虑在SSL会话超时设置为极低的值降低的潜在影响。 |
| 只使用TLS 1.2以上的版本,版本1.0和1.1是不安全的。 |
| 配置使用TLS安全算法。当前建议使用ECDH ECDSA, AES256-GCM, SHA384最安全。 |
例子,实例
| 使用MITM技术,敌人发射一块chosen-boundary攻击获得明文HTTP头利用SSL会话使用加密协议在CBC模式连接初始化向量(IV)。这使得对手恢复会话id,验证cookie,可能其他有价值的数据,可用于进一步开发。另外这可能允许插入的数据流,允许额外的攻击(CSRF、SQL注入等)发生。 |
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2015-12-07
(版本2.8) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述总结 |
| 2021-06-24
(版本3.5) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Execution_Flow |
| 2022-02-22
(版本3.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新@ name、描述Example_Instances、Execution_Flow Extended_Description,移植,Resources_Required Skills_Required |
| 以前的条目名称 |
| 改变日期 |
以前的条目名称 |
| 2015-12-07
(版本2.8) |
利用错误配置SSL安全水平 |
|
| 2022-02-22
(版本3.7) |
利用SSL配置错误 |
|
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
