安全套接層(SSL)被用于保護(hù)無數(shù)的網(wǎng)絡(luò)用戶，但是它有什么弱點(diǎn)呢?最近幾年出現(xiàn)了許多專門攻擊SSL的攻擊。雖然這個(gè)技術(shù)實(shí)際上還是比較安全的，但是攻擊者一直在尋找漏洞繞過安全協(xié)議和標(biāo)準(zhǔn)。其中SSL是他們的主要目標(biāo)。SSL被用于保護(hù)敏感的超文本傳輸協(xié)議(HTTP)流量。有一些攻擊者則不這樣想，他們一直在尋找訪問敏感數(shù)據(jù)的新方法。下面我們一起探討黑客試圖攻破SSL的不同方法。

　　欺騙手段：欺騙用戶接入一個(gè)錯(cuò)誤的證書。這是一種攻擊SSL用戶的常用方法。其方法是讓用戶不顧看到的警告或錯(cuò)誤，仍然堅(jiān)持訪問這個(gè)網(wǎng)站。雖然發(fā)起這種攻擊很簡(jiǎn)單，但是它要求受攻擊者接受一個(gè)明顯有問題的證書。大多數(shù)用戶都會(huì)發(fā)現(xiàn)這種欺騙行為;因此，這種威脅的級(jí)別較低。

　　虛假證書：雖然這種方法聽起來有一些牽強(qiáng)，但是它曾經(jīng)取得成功。有時(shí)攻擊者能夠獲得一個(gè)有效的證書，然后用它們執(zhí)行惡意行為。例如，在2011年，有攻擊者攻破了荷蘭證書授權(quán)的安全機(jī)制，然后偽造了雅虎、谷歌、Wordpress等網(wǎng)站的證書。在獲得有效的證書之后，這些攻擊者繞過了HTTPS保護(hù)。但是，這種攻擊的整體級(jí)別仍然比較低。

　　移除SSL，直接通過明文發(fā)送數(shù)據(jù)：2009年出現(xiàn)了一種新的SSL攻擊方法，它來自于SSLStrip。這個(gè)工具不會(huì)讓用戶看到警告信息，而是充當(dāng)一個(gè)代理服務(wù)器的作用，去掉了HTTPS的S(安全性)，這樣用戶就只能通過HTTP直接訪問。SSLStrip還允許攻擊者給用戶看到加鎖網(wǎng)站圖標(biāo)，所以發(fā)現(xiàn)錯(cuò)誤的唯一方法就是瀏覽器地址欄只顯示HTTP，而不是HTTPS。如果用戶沒有注意到這個(gè)細(xì)微差別，那么攻擊者就可以訪問到受保護(hù)的數(shù)據(jù)。這種攻擊的威脅級(jí)別屬于中級(jí)。

　　破解密鑰：目前大多數(shù)證書都使用1024位或2048位密鑰。2048位密鑰非常可靠，想要使用一臺(tái)普通桌面電腦來暴力破解它，這幾乎是不可能的。即使如此，已經(jīng)有報(bào)告指出，National Security Agency已經(jīng)成功獲得了SSL流量的訪問。雖然有人認(rèn)為NSA可能發(fā)現(xiàn)了新的量子計(jì)算技術(shù)，但是這個(gè)機(jī)構(gòu)完全有可能直接獲得了加密密鑰或者在軟件和硬件中植入了后門(入口)。NSA及其他訪問安全數(shù)據(jù)的方法的威脅級(jí)別還不確定。

　　中間人攻擊：這種攻擊是一種主動(dòng)竊聽形式，攻擊者將通過獨(dú)立連接訪問攻擊目標(biāo)，然后向服務(wù)器發(fā)送信息。其中一個(gè)例子就是Lucky 13，它是用傳輸層安全媒體訪問控制計(jì)算的13位頭信息命名的。雖然這種密文攻擊在理論上是可能實(shí)現(xiàn)的，但是它要求先控制環(huán)境，而且需要很長(zhǎng)的時(shí)間;所以，它的威脅級(jí)別非常低。

　　邊信道攻擊：過去幾年出現(xiàn)了幾次邊信道攻擊，它已經(jīng)證明可用于恢復(fù)驗(yàn)證所使用的HTTP請(qǐng)求和Cookies。 通過適應(yīng)性超文本壓縮實(shí)現(xiàn)的瀏覽器偵測(cè)和泄漏(BREACH)就是一個(gè)例子。BREACH利用壓縮和HTPP響應(yīng)，它們一般都使用gzip等機(jī)制壓縮。對(duì)于可能受到攻擊的應(yīng)用，它必須使用HTTP級(jí)壓縮，在HTTP響應(yīng)中加入用戶輸入，然后暴露HTTP響應(yīng)體的跨站請(qǐng)求偽造令牌。雖然這在理論上是可行的，但是有一些方法可以抑制這種攻擊，因此它的威脅級(jí)別也較低。

　　事實(shí)上，許多此類攻擊都只停留在理論上。即便如此，我們也一定要注意，這些攻擊手段通常有可能慢慢進(jìn)化。這也是1024位密鑰逐步淘汰并更換為2048位密鑰的原因之一。為了保證信息的安全性，一定要正確設(shè)計(jì)和實(shí)現(xiàn)可靠的加密算法。此外，我們也需要用更健全的法律保護(hù)個(gè)人隱私及向公眾開放的算法。最后，只有堅(jiān)持長(zhǎng)期斗爭(zhēng)，才能保證真正的安全。