Sweet32
관련된 오류
"이 서버는 SWEET32 공격에 취약합니다. 서버에서 약한 암호화(DES 및 3DES)를 사용 중지하고 AES를 사용하게 합니다."
문제점
Sweet32 Birthday 공격은 triple-DES 암호화에 영향을 줍니다. OpenSSL 팀은 triple-DES 취약성을 낮은 등급으로 평가했지만 이들은 “이제 triple-DES를 RC4처럼 위험한 것으로 간주해야 한다”고 발표했습니다. DigiCert 보안 전문가 및 다른 보안 전문가들도 서버에서 triple-DES 암호화를 사용 중지할 것을 권장합니다.
DES 암호화 (및 triple-DES)에는 64비트 블록 크기만 있습니다. 이것으로 공격자는 브라우저에서 JavaScript를 실행하여 동일한 TLS 연결 중에 많은 양의 트래픽을 보내서 충돌을 발생시킵니다. 이 충돌을 이용하여 공격자는 세션 쿠키에서 정보를 가져올 수 있습니다.
triple-DES 암호화는 대부분의 HTTPS 서버 및 모든 주요 웹 브라우저—약 600개의 가장 많이 방문하는 웹사이트에서 지원합니다. 다행히 대부분의 브라우저는 HTTPS 연결을 할 때 triple-DES보다 AES를 사용합니다.
솔루션
다음 옵션 중 하나를 사용합니다.
아직 지원하는 서버에서 triple-DES를 사용 중지합니다.
DES 또는 RC4보다 더 강력한 암호화를 지원하지 않는 오래된 서버를 업그레이드합니다.