Ist Ihre Website sicher vor FREAK Attack?
Websicherheit ist heutzutage ein Thema. Es gibt immer etwas, das den Sicherheitsexperten beschäftigt, und die Namen der Schwachstellen sind ein bisschen eingängig wie Heart Bleed, Poodle und jetzt Freak Attack.
In diesem Leitfaden erkläre ich, wie Sie feststellen können, ob Ihre Website betroffen ist, und wie Sie die Schwachstellen beheben.
Inhaltsverzeichnis
Einführung
Wenn Sie interessiert sind oder Freak Attack nicht kennen, dann hier ein paar Worte. Karthikeyan Bhargavan entdeckte eine Schwachstelle für einen FREAK-Angriff bei INRIA in Paris.
Am 3. März 2015 wurde bekannt gegeben, dass eine neue SSL/TLS-Schwachstelle es einem Angreifer ermöglichen würde, eine HTTPS-Verbindung zwischen einem anfälligen Client und Server abzufangen und ihn zu einer schwachen Verschlüsselung zu zwingen. Dies hilft einem Angreifer, sensible Daten zu stehlen oder zu manipulieren.
Überprüfen Sie, ob Ihr Server anfällig ist
Wenn Ihr Webserver RSA_EXPORT-Verschlüsselungssammlungen akzeptiert, sind Sie gefährdet. Unter folgendem Link können Sie eine Überprüfung Ihrer HTTPS-URL durchführen.
Beheben Sie die Sicherheitslücke FREAK Attack
Apache HTTP Server – Sie können EXPORT Cipher Suites deaktivieren, indem Sie unten in Ihre httpd.conf- oder SSL-Konfigurationsdatei einfügen.
SSLCipherSuite !EXPORT
Möglicherweise haben Sie bereits eine SSLCipherSuite-Zeile in Ihrer Konfigurationsdatei. Wenn ja, müssen Sie nur !EXPORT am Ende der Zeile hinzufügen.
Wenn Sie neu in der Konfiguration sind, können Sie meinen Apache Web Server Security & Hardening Guide lesen.
Nginx – fügen Sie Folgendes in Ihre Konfigurationsdatei ein.
ssl_ciphers '!EXPORT';
Zusätzlich können Sie die verwenden SSL-Konfigurationsgenerator oder Von Mozilla empfohlene Konfiguration mit SSL/TLS-Schwachstellen zu schützen.
Als Websitebesitzer oder Sicherheitsingenieur sollten Sie regelmäßig einen Sicherheitsscan Ihrer Website durchführen, um neue Schwachstellen zu finden und benachrichtigt zu werden.
Sie könnten auch daran interessiert sein, den Logjam-Angriff zu beheben.
Haben Sie den Artikel gerne gelesen? Wie wäre es mit der Welt zu teilen?