SSL-SSL v2 지원을 비활성화하는 이유는 무엇입니까?


8

웹 서버에서 SSL을 설정하는 동안 SSL v2 지원을 비활성화해야한다고 말하는 많은 가이드를 보았습니다.

이유를 이해할 수 없습니다. 왜 제게 말해 줄래요?

답변:


12

위키 백과 :

SSL 2.0은 다양한 방식으로 결함이 있습니다. 1

  • 동일한 암호화 키는 메시지 인증 및 암호화에 사용됩니다.
  • SSL 2.0은 비밀 접두사와 함께 MD5 해시 기능을 사용하는 MAC 구성이 약하므로 길이 확장 공격에 취약합니다.
  • SSL 2.0에는 핸드 셰이크에 대한 보호 기능이 없으므로 중간자 다운 그레이드 공격이 감지되지 않을 수 있습니다.
  • SSL 2.0은 TCP 연결을 사용하여 데이터의 끝을 나타냅니다. 이는 잘림 공격이 가능하다는 것을 의미합니다. 공격자는 TCP FIN을 위조하여 수신자가 불법적 인 데이터 끝 메시지를 알지 못하도록합니다 (SSL 3.0은 명시적인 폐쇄 경고를 통해이 문제를 해결합니다).
  • SSL 2.0은 단일 서비스 및 고정 도메인 인증서를 가정하며 이는 웹 서버에서 가상 호스팅의 표준 기능과 충돌합니다. 이는 대부분의 웹 사이트가 SSL 사용에 실질적으로 장애가 있음을 의미합니다. TLS / SNI가이 문제를 해결하지만 아직 웹 서버에 배포되지 않았습니다.

1 : http://en.wikipedia.org/wiki/Transport_Layer_Security#SSL_1.0.2C_2.0_and_3.0

당사 사이트를 사용함과 동시에 당사의 쿠키 정책개인정보 보호정책을 읽고 이해하였음을 인정하는 것으로 간주합니다.
Licensed under cc by-sa 3.0 with attribution required.