SSL之父稱SSL不會因被攻擊而失去生命力
SSL/TLS是保護電子商務安全的協(xié)議，該協(xié)議最近受到了撼動。新聞報道稱其證書驗證被破壞，且有人發(fā)現(xiàn)了協(xié)議本身的漏洞。這種破壞可能是無法挽回的，或許需要尋求一些新的保障。
SSL創(chuàng)建者之一，AxwayCTOTaherElgamal稱，雖然發(fā)現(xiàn)了SSL/TLS(BEAST)在瀏覽器中的漏洞，且其證書驗證失效，但是如果對其進行適當升級，該協(xié)議還是可用的。問題其實無關乎SSL/TLS本身，而是其周邊的信任架構，以及修補協(xié)議漏洞時產生的問問題。NetworkWorld高級編輯TimGreene最近就此問題采訪了Elgamal.以下是雙方的對話內容。
BEAST利用的漏洞早在2004年就已經出現(xiàn)，問題癥結在哪里?
問題有些復雜，安全協(xié)議確實存在缺陷，我們應該意識到必須對協(xié)議進行升級和修補。全球所有瀏覽器都是使用TLS,這一協(xié)議就存在此漏洞。所以又必要了解這一攻擊到底是怎么一回事。
BEAST的部署方式是在瀏覽器上安放惡意軟件，這樣就可以迫使瀏覽器產生cookies,然后這些cookies會被發(fā)送出去，然后再使用中間人攻擊的方式獲取加密數(shù)據(jù)。這一用戶就遭受了所謂選定的純文本攻擊--用戶選擇純文本，讀取密文然后嘗試進行匹配找出密鑰。這種手法相當聰明。
從實踐角度來看，真正的問題是用戶不得不在機器上安裝惡意軟件。其實，如果可以在用戶機器上安放惡意軟件，就不需要使用SSL,因為攻擊者可以在數(shù)據(jù)加密前看到所有數(shù)據(jù)。
這一威脅之所以傳播得如此快，是因為全球有二十億瀏覽器用戶，而且所有瀏覽器都是用SSL,而且所有電子商務網(wǎng)站使用的都是該協(xié)議，因此我們必須謹慎對待。況且，Windows其實是不太理想的操作系統(tǒng)，它很容易被惡意軟件利用。
采取什么方法比較實際?使用TLS1.1?
遺憾的是這并非解決之道。很多瀏覽器目前仍不支持TLS1.1.這才是問題所在，盡管TLS1.1已經有兩年多的歷史。企業(yè)用戶可以為此做些什么呢?企業(yè)用戶應該留意惡意軟件。確保自己的機器運行狀態(tài)良好，使用的是a/v和反惡意軟件定位工具。
TLS1.1有什么負面影響嗎?誰都希望一勞永逸，渴望可以獲得永久的安全性。在過去十年時間里，電腦技術飛速發(fā)展，因此現(xiàn)在安全的東西不代表將來會安全。這倒是跟特定的安裝，協(xié)議或是操作系統(tǒng)沒有關系。必須對有缺陷的地方加以監(jiān)控，及時更新，而這些都不會是一勞永逸。其實這與SSL沒有什么關系，只是因為SSL被廣泛使用到電子商務中，才成了替罪羊。作為一種協(xié)議，用其本身來做替換并不能解決什么問題。
事實上，帶有內置root密鑰的瀏覽器并非好事，但這種情況卻很難改變。我們應該已經把受信任的的對象隔離開。如果不能隔離受信任的root,那么最好是創(chuàng)建一個每個人都要咨詢的邊緣聲譽系統(tǒng)。當瀏覽器從未知CA處獲取證書后，它會對其信譽進行詢問。如果這一CA做了不恰當?shù)氖虑椋湫抛u會下降，瀏覽器也會拒絕與其建立連接。比起保護消費者，我們更希望他們對網(wǎng)頁的訪問更方便。因此，我們才允許訪客實施隨機信任。在有人信任了某個事物后，很難在當前安裝中再對其表示不信任。所以瀏覽器要放棄一些東西。雖然有些遺憾，但是這僅僅與PKI被部署到瀏覽器當中的方式有關系，而與特定的協(xié)議無關。你可以移除SSL,改用IPSec,相同的問題仍然會存在，因為二者都是使用PKI.
可以采取什么措施?
如果有什么辦法可以把受信任對象從瀏覽器供應商中區(qū)分開，那自然最好。而受信任的root應該是具備內置信譽生態(tài)系統(tǒng)的互聯(lián)網(wǎng)。所有CA都將內置聲譽，因為這就是互聯(lián)網(wǎng)的運作方式，這樣你也擁有更優(yōu)的信任模式。
如果發(fā)生這種情況，而且人們已經注意到當特定的CA正在發(fā)布不良證書的時候，其聲譽系統(tǒng)會立刻將其剔除。不需要發(fā)布什么補丁，也不需要等別人提醒我們升級，該生態(tài)系統(tǒng)會自動完成操作。
工作機制
我們必須創(chuàng)建一種機制執(zhí)行自動更新。如果我們打算使用更新協(xié)議完成自動更新，那么出現(xiàn)新版本的時候，它自己會找到更新地址而不需要等待Windows更新。
【編輯推薦】
