解决SSL攻击的方法
作者：williamlong 来源：月光博客 发布时间：2009-10-06 14:23:00
标签：ssl,攻击,安全
SSL的窃听和安全最近颇受关注，吴洪声提出了一种SSL窃听攻击的思路，主要是利用了CA签发证书的一个重大缺陷：只验证目标网站的域名信箱即可签发该网站的证书，因此，只要搞到目标网站的一个信箱，就可以窃取到这个域名的SSL证书。
因此，大多数免费邮箱或公司邮箱的SSL证书都存在网站SSL证书被窃取的可能性，Gmail由于使用mail.google.com而不是www.gmail.com，因此得以幸免于难。然而，有权使用google.com的Google公司的员工依然有可能获取google.com的SSL证书，一旦该证书被用于大规模的域名劫持，后果不堪设想。
如果想要避免这种SSL证书窃取，CA需要修改目前的签发流程，即在签发前需要验证申请者对于该网站具有管理权限，例如，在网站的首页增加一小段隐藏代码，或者在网站上传一个指定的HTML文件，这样，只有真正的网站拥有者才能做这样的操作，非法窃取者即使有了该域名的邮件，也无法获取该域名的证书。
当然，从根本上讲，这个攻击并非对SSL安全协议本身的攻击，只是对其发行机构的攻击，SSL协议目前来说还是安全可靠的。
名词注释：SSL
安全套接字层 （Secure Sockets Layer，SSL） 是一套提供身份验证、保密性和数据完整性的加密技术。SSL 最常用来在 Web 浏览器和 Web 服务器之间建立安全通信通道，用以保障在 Internet 上数据传输之安全，SSL 利用数据加密技术，确保数据在网络上之传输过程中不会被截取及窃听，它也可以在客户端应用程序和 Web 服务之间使用。
0
投稿猜你喜欢
- 最近有和朋友谈论百度快照不更新，首页Site不是第一的问题，下面简单的说一下自己怎样把自己的站快照和site不正常到正常的经历，绝非抄袭别人
- 国际金融危机下，企业依靠电子商务走出困境，创造了一个又一个的奇迹，掀起了一场电子商务热潮，在电子商务风靡国内企业时，电子商务的格局也发生着巨
UUCall被誉为网络电话第一品牌，10月初意外关闭 （腾讯科技配图）10月12日早间消息，UUCall负责人汪先生昨日接受腾讯科技独家专访- “我知道你想问什么，但是这件事情，目前我什么都不能说。”昨天晚上，申花队一行人飞抵重庆，备战明天下午与重庆力帆队的中超比赛。与以往经常随队出
- 以下是Adsense小组新手专题的文章，原文标题：无效点击和点击欺诈的定义经常有新发布商向我们询问这两个词的意思，为帮助发布商充分理解它们的
- 搜索引擎会对恶意进行SEO的网站进行惩罚，如清除所有链接。百度对作弊的判断条件：(1)在网页源代码的任意位置，故意加入与网页内容不相关的关键
- 这是一个吸引人的话题，同时也是最难解决的问题，尤其是在目前这个比较浮躁的大环境下，大量的采集，不停的Site，不断的被K，又大量的采集...
- 北京时间11月13日消息，据国外媒体报道，微软在英国取消了其搜索引擎Bing的beta测试版标签，同时还发布了Bing地图英国版，用户在访问
- 第一个问题：链接看起来和普通文本一样，是否是属于隐藏链接?几乎所有seo人员的博客上都有大量链接，给出某个链接很可能因为文章中确实涉及到关于
- Microsoft Exchange 2000 Server提供了一套具有较低总体拥有成本的24x7消息和协作基础架构。服务器应用程序专门为
- 7月28日消息，有网游爆料称QQ最新版 2010SP1(版本号1760)有巨大漏洞，发送代码之后，打开聊天记录就可以执行。TechWeb从
- 现在以计算机维生的人越来越多了，尤其是个人站长一族，但你知道吗!天天坐在计算机前面想要维系健康美丽，又要与岁月硬撑可不容易，循环不良的坐姿，
- 关于网络数据库里一些商业数据被盗窃后公布于网上;公司商业网站的产品价格数据又被恶意修改……类似这样的案例，在网上搜索了一下，实在不少。其原因
- HTTP（HyperTextTransferProtocol）是超文本传输协议的缩写，它用于传送WWW方式的数据，关于HTTP 协议的详细内
- 入侵检测系统(IDS)是防火墙的合理补充，它帮助安全系统发现可能的入侵前兆，并对付网络攻击。入侵检测系统能在不影响网络性能的情况下对网络进行
- 近两年来，网页游戏发展迅速，从原来单一的文字格斗形式发展到今天，出现了各种类型的网页游戏，战争策略类，休闲竞技类，模拟经营类等。从网页游戏产
- URL优化的重点就是把内容放在权重高的页面上，以下是各级目录的权重比较。1)目录的权重虽然搜索蜘蛛会捉取3级目录及以上的页面，但是一级目录的
- 有Godaddy用户问如何添加Godaddy子域名，那让我们首先先来了解下什么是子域名，子域名是为你的站点的各个部分建立易记的网址的一个简便
- 最近集中精力学习了一下前辈们的网站营运及推广经验，和如何实现盈利的方法，针对目前我所运营的深圳掘吧网不温不火的现状，决定作出一次尝试：去扫街
- 3、禁止dump file的产生dump文件在系统崩溃和蓝屏的时候是一份很有用的查找问题的资料(不然我就照字面意思翻译成垃圾文件了)。然而，
