Existe uma solução para o ataque de renegociação SSL?

Question

Eu li que a fraqueza teórica em foi comprovado como real. Existe uma solução alternativa que possamos aplicar como usuários ou administradores para proteger nossos usuários / eus?

    

Answer 1

O furo só permite que os dados sejam injetados, se essa injeção puder causar um vazamento de dados de algum tipo, será necessário retrabalhar o programa do servidor para garantir que os dados injetados não causem o vazamento de informações confidenciais. .

Ou seja, a sessão do usuário permanece segura no lado de saída (ou seja, de servidor para cliente), essas comunicações permanecem secretas, as comunicações do lado de entrada (cliente para servidor), os dados do cliente ainda permanecem secretos bem, no entanto, os dados podem ter informações anexadas ou anexadas a ele por um ataque man-in-the-middle.

Portanto, não há necessidade de uma solução alternativa, a menos que seu servidor / serviço seja vulnerável a esse tipo de ataque e, se for, a solução alternativa será específica para seu aplicativo da Web.

    

Answer 2

O ataque sugere a capacidade de apresentar dados sob as credenciais confiáveis do cliente, o que, dependendo do ambiente e dos usos dos servidores finais em questão, pode levar ao escalonamento de privilégios e afins.

O risco é proporcional aos dados que você protege e ao tempo que alguém iria para roubá-lo.

Praticamente os documentos sugerem pouca defesa. Como o problema é um ataque por baixo do protocolo, isto é, abaixo da camada de transporte, então usar IPSEC pode ser uma opção. Isso funcionaria melhor em uma população fechada de usuários em que você tem controle sobre as máquinas finais. O IPSEC seria menos adequado para um ambiente geral de Internet não controlada.

Mark Sutton link