BEAST

Browser Exploit Against SSL/TLS

Связанное предупреждение

"Сервер уязвим для атаки BEAST."

Проблема

Браузерная атака с использованием вредоносного кода, эксплуатирующего уязвимости, в отношении SSL/TLS (BEAST) затрагивает протоколы SSL 2.0, SSL 3.0 и TLS 1.0, позволяя вредному фактору дешифровать содержимое сеанса, зашифрованного с помощью SSL или TLS, между веб-браузером и веб-сайтом. Атакующий использует слабость в блочно-ориентированных наборах шифров.

Это атака является атакой на стороне клиента, когда злоумышленнику необходимо контролировать браузер "жертвы". Большинство браузеров уязвимы для атаки BEAST.

Во время атаке BEAST злоумышленник действует как взломщик, подключившийся к каналу связи между контрагентами, и использует специально созданный ввод незашифрованного текста для дешифрования содержания сеанса, зашифрованного с помощью SSL или TLS, между веб-браузером и веб-сайтом. Этот тип атаки позволяет злоумышленнику извлечь конфиденциальную информацию (например, файлы cookie HTTP-аутентификации).

Способ устранения

  • Включите TLS 1.2 или TLS 1.3 на серверах, которые поддерживают эти протоколы.
  • Включите TLS 1.2 или TLS 1.3 в веб-браузерах, которые поддерживают эти протоколы.

Частичное решение

Отключите все блочно-ориентированные наборы шифров в конфигурации SSL/TLS вашего сервера. Используйте данное частичное решение, только если вы не можете включить TLS 1.2 или TLS 1.3 на серверах и в браузерах.

О проекте

Компания DigiCert является первым в мире премиальным поставщиком цифровых страховых сертификатов высокого уровня, предоставляя доверенные SSL, частные и управляемые развертывания PKI, а также сертификаты устройств для растущего рынка интернета вещей. С момента нашего основания почти пятнадцать лет назад нами руководила идея поиска лучшего пути. Лучшего пути аутентификации в сети Интернет. Лучшего пути создания решений в ответ на запросы наших клиентов. Теперь мы добавили опыт и человеческие ресурсы компании Symantec к нашему инновационному наследию с целью поиска оптимального направления развития отрасли и усиления веры в идентичность и цифровые взаимоотношения.

2019 DigiCert, Inc. Все права защищены. Компания DigiCert и ее логотип являются зарегистрированными торговыми знаками компании DigiCert, Inc. Компании Symantec и Norton, их логотипы и торговые знаки используются на основании лицензии, выданной компанией Symantec Corporation. Другие названия могут являться торговыми знаками соответствующих собственников.