Cómo solucionar la vulnerabilidad del ataque de renegociación iniciado por el cliente TLS (CVE-2011-1473) que aparece en Windows 10.

Los servicios que utilizan SSL para habilitar la renegociación se verán afectados por esta vulnerabilidad

Esta vulnerabilidad existe en el proceso de renegociación de SSL. Los servicios que utilizan la función de renegociación SSL se verán afectados. En particular, la renegociación se utiliza para la autenticación de navegador a servidor.

Aunque actualmente es posible utilizar HTTPS sin habilitar el proceso de renegociación, muchos servidores tienen la función de renegociación habilitada de forma predeterminada.

Esta vulnerabilidad sólo requiere una computadora común y una conexión DSL para ingresar fácilmente al servidor SSL. Para un clúster de servidores grande, se requieren 20 computadoras y una conexión de red de 120 Kbps.

SSL es una característica esencial para que los bancos, los servicios de correo electrónico en línea y otros protejan los datos privados y aseguren las comunicaciones entre servidores y usuarios. Por tanto, el impacto de esta vulnerabilidad de denegación de servicio es muy amplio y el daño muy grave.

1. Solución Apache:

Actualice a Apache 2.2.15 o versión posterior

2. Solución IIS:

IIS 5.0 También se verá afectado cuando el servicio SSL esté habilitado. Puede actualizar IIS 6.0 a una versión superior.

3. Solución Lighttpd:

Se recomienda actualizar a lighttpd 1.4.30 o superior y configurar ssl.disable-client-renegotiation = "enable". ?

4. Solución Nginx:

Actualice 0.7.x a nginx 0.7.64

Actualice 0.8.x a 0.8.23 y superior.

5. Solución Tomcat: 1. Utilice el conector NIO en lugar del conector BIO, debido a que NIO no admite la renegociación, consulte la siguiente configuración:

(puede afectar el rendimiento de Tomcat); 2. Configure el proxy inverso de Nginx y solucione problemas relacionados con OpenSSL en Nginx.

6. Solución Squid:

Actualización a 3.5.24 y versiones posteriores

Información ampliada:

Ataque distribuido de denegación de servicio Muchos Las computadoras pueden ser atacadas al mismo tiempo, lo que hace que el objetivo del ataque no pueda usarse normalmente. Los ataques distribuidos de denegación de servicio se han producido muchas veces, lo que provoca que muchos sitios web grandes no puedan funcionar. Los usuarios también causarán enormes pérdidas económicas.

Los ataques distribuidos de denegación de servicio pueden falsificar la dirección IP de origen al atacar, por lo que el ataque está muy oculto cuando ocurre y el ataque debe detectarse al mismo tiempo. , por lo que este método de ataque también se ha convertido en un ataque muy difícil de prevenir.

Enciclopedia Baidu: ataque distribuido de denegación de servicio