BEAST

针对 SSL/TLS 的浏览器漏洞攻击

相关警告

"服务器易受 BEAST 攻击。"

问题

Browser Exploit Against SSL/TLS (BEAST) 攻击影响 SSL 2.0、SSL 3.0 和 TLS 1.0 协议,允许不良攻击者解密 Web 浏览器和网站之间的 SSL 加密或 TLS 加密会话的内容。攻击者会利用基于块的密码套件中的漏洞。

这是面向客户端的攻击,其中攻击者需控制"受攻击者"的浏览器。大部分浏览器易受 BEAST 攻击。

在 BEAST 攻击中,攻击者以中间人的身份,使用专门定制的纯文本输入,破解 Web 浏览器与网站之间的 SSL 加密或 TLS 加密会话的内容。这种攻击类型使得攻击者能够找回敏感信息(例如,HTTP 验证 Cookie)。

解决方案

  • 在支持 TLS 1.2 或 TLS 1.3 协议的服务器上启用这些协议。
  • 在支持 TLS 1.2 或 TLS 1.3 协议的 Web 浏览器上启用这些协议。

变通方案

在服务器的 SSL/TLS 配置中禁用所有基于块的密码套件。仅当您无法对服务器和浏览器启用 TLS 1.2 或 TLS 1.3 时,才使用此变通方案。