openssl 漏洞

penssl 漏洞
FB招聘站
分类阅读
专栏
公开课
FIT 2019
企业服务
用户服务
搜索
投稿
登录
注册
OpenSSL高危漏洞：允许黑客解密HTTPS通信流量（CVE-2016-0701） dawner专栏作者2016-02-01金币奖励+8共451210人围观，发现 3 个不明物体 WEB安全数据安全
picking-lock-640x360.jpg

OpenSSL加密代码库的维护者们宣布修复了一个高危漏洞。该漏洞能让黑客获取在HTTPS和其他安全传输层，对加密通信进行解密的密钥。

OpenSSL漏洞细节
当各种条件满足时，该漏洞就可以被利用。首先，这个漏洞存在于OpenSSL v1.0.2。依赖它的应用，必须是使用数字签名算法生成基于DH密钥交换的临时key。默认情况下，该类服务器将复用相同的DH私钥，这会让它更易受到密钥覆盖攻击。基于DSA的DH（Diffie Hellman）配置（依赖于静态DH加密套件），也是会受影响的。

幸运的是，许多主流应用的配置并不是OpenSSL+基于DSA的DH。比如Apache服务器，就开启了SSL_OP_SINGLE_DH_USE选项，这会使用不同的私钥。由OpenSSL衍伸出的BoringSSL 代码库，在几月前抛弃了对SSL_OP_SINGLE_DH_USE支持。而LibreSSL在本周早些时候也已经将这个选项弃用。然而，使用静态加密套件时，这些应用和库仍然是存在漏洞的。

当其他附加条件满足后，黑客可以发送大量的握手请求包到存在漏洞的服务器或者PC机。进行了足够的计算后，黑客会获得部分密钥值，最后结合中国剩余定理，能够推导出完整的解密密钥。这个漏洞编号为CVE-2016-0701，Adobe系统研究员Antonio Sanso于周三发布了一篇博文，里面讲了相关的内容和报告给官方的细节。除此之外，OpenSSL官方警告，这次的解决方案可能会影响机器性能。

OpenSSL修复该漏洞的速度让人惊讶，Sanso是1月12日向官方报告的该漏洞，这意味着官方修复、分发只用了2个多星期。有趣的是，当研究人员报告了漏洞后，解决DH密钥复用的修复进行了更新。但官方现在还没有发布新版本，他们通过补丁完成了部分修复。

还记得Logjam么
周四的发布中还包括了针对一个 HTTPS-crippling漏洞的解决方案，这个叫Logjam的漏洞于去年五月首次披露，影响成千上万的服务器。它允许黑客降级DH加密连接，使用更加脆弱的512位密钥。在这里，黑客可以使用预先计算好的数据，推断出通信双方的密钥。

如果使用了DH参数，OpenSSL会拒绝少于1024位的密钥通信，此前一个OpenSSL补丁已经增加了768位的限制。

注意，使用OpenSSL v1.0.2的应该升级到1.0.2f，而使用版本1.0.1的应该安装1.0.1r。周四的OpenSSL公告提醒用户，他们对1.0.1的支持将在今年年底结束，后续不会再有安全补丁。而对0.9.8和1.0.0的支持已于12月结束。

*参考来源：AC，FB小编dawner编译，转载请注明来自FreeBuf黑客与极客（FreeBuf.COM）

dawner
dawner
285 篇文章
等级： 9级
||
上一篇：一个有趣的实例让NoSQL注入不再神秘下一篇：SLOTH：一个新型的TLS1.2降级攻击
发表评论已有 3 条评论

test 2016-02-01回复 1楼
注意，使用OpenSSL v1.0.2的应该升级到1.0.2f(fu*k版本)，而使用版本1.0.1的应该安装1.0.1r(ri版本)。

亮了(5)

se4 (1级) 2016-02-03回复 2楼
openssl跟openssh这对难兄难弟，我也是服了。

亮了(5)

fade_you (1级) 普普通通开发者 2016-02-04回复 3楼
太欠缺知识了这个居然看不懂囧

亮了(3)
昵称
请输入昵称
必须您当前尚未登录。登陆？注册邮箱
请输入邮箱地址
必须（保密）表情插图
有人回复时邮件通知我
dawner
dawner专栏作者

黎明已经过去，黑暗就在眼前！

285
文章数
404
评论数
最近文章
浅谈扫描器之插件篇
2018.10.11

浅谈扫描器之加速篇
2018.09.01

selenium爬虫中的post坑
2018.04.18

浏览更多
相关阅读
HTTPS时代到来 | 谷歌七月开始将会把所有HTTP站点标记为不安全技术分享：CBC中Padding Oracle攻击的再解读，如何攻破HTTPS？Ruby OpenSSL 私钥伪造脚本新手教程：如何使用Burpsuite抓取手机APP的HTTPS数据“移花接木”偷换广告：HTTPS劫匪木马每天打劫200万次网络访问
特别推荐

关注我们分享每日精选文章

活动预告
11月

FreeBuf精品公开课·双11学习狂欢节 | 给努力的你打打气
已结束
10月

【16课时-连载中】挖掘CVE不是梦（系列课程2）
已结束
10月

【首节课仅需1元】挖掘CVE不是梦
已结束
9月

openssl 漏洞

文章评论