【案例63】SSL RC4 加密套件支持检测 (Bar Mitzvah)修复方案

2024-08-28 16:44

本文主要是介绍【案例63】SSL RC4 加密套件支持检测 (Bar Mitzvah)修复方案,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

漏洞详情信息

漏洞名称

SSL RC4 加密套件支持检测 (Bar Mitzvah)

漏洞等级

漏洞描述

远程主机支持在一个或多个密码组中使用 RC4。
RC4 密码在伪随机字节流的生成中存在缺陷,导致引入了各种各样的小偏差,降低了其随机
性。
如果反复加密明文(例如 HTTP cookie),并且攻击者能够获得许多(即上千万)密文,则
该攻击者可能会推测出明文。

漏洞影响

攻击者可利用大量的密文推测明文,导致远程主机信息泄露。

漏洞修复方案

方案一(如果有Nginx或者Apache禁用RC4)

方案描述

如果可能,请重新配置受影响的应用程序以避免使用 RC4 密码。可以考虑在浏览器和 Web
服务器的支持下将 TLS 1.2 用于 AES-GCM 组。

修复流程

找到ssl 配置文件 > 禁用RC4 密码组 > 重启服务 > 检查是否禁用成功 > 完成

步骤1:找到ssl 配置文件

Apache 配置文件

vi /apache/conf/extra/httpd-ssl.conf使用yum 源下载的则:vi /etc/httpd/conf.d/ssl.conf

Nginx 配置文件

vi /etc/nginx/nginx.conf

其他服务器以实际情况为准。

步骤2 禁用RC4 密码组

找到SSL 密码组配置,Apache 中为:SSLCipherSuite、Nginx 中为:ssl_ciphers
如果配置中存在:RC4 密码组,如图

将其改为:!RC4,如果不存在,新增即可。

 步骤3 重启服务 

### 如果做成了服务
Apache:systemctl restart httpd
Nginx:systemctl restart nginx### 如果非服务模式Apache:/apache/bin/httpd -s restart
Nginx:/nginx/sbin/nginx -s restart

 步骤4 检查是否禁用成功

openssl s_client -connect IP 地址:443 -cipher RC4

如图表示已禁用成功 

方案二 Windows(无Apache、Nginx) 

操作前提Windows2008R2 必须先安装补丁kb4103712

https://catalog.s.download.windowsupdate.com/c/msdownload/update/software/secu/2018/04/windows6.1-
kb4103712-x64_44bc3455369066d70f52da47c30ca765f511cf68.msu

Windows2012R2必须先安装以下补丁:KB2919355

https://www.microsoft.com/zh-CN/download/details.aspx?id=42334
KB4103715
http://download.windowsupdate.com/c/msdownload/update/software/secu/2018/04/windows8.1-kb4103715-
x64_43bebfcb5be43876fb6a13a4eb840174ecb1790c.msu

Windows2016必须先安装以下补丁:KB4103723

https://catalog.s.download.windowsupdate.com/d/msdownload/update/software/secu/2018/05/windows10.0-
kb4103723-x64_delta_9c58708904a7320f572dd37c484ca0a6d58ffbb7.msu

修复流程

步骤1 打开本地组策略编辑器 

按下Win+R,输入 gpedit.msc 进入到本地组策略编辑器

步骤2 打开SSL 配置设置

依次打开:计算机配置 —> 管理模板 —> 网络 —> SSL 配置设置

步骤3 修改SSL 密码套件顺序置

双击 SSL 密码套件顺序,选择“已启用”,SSL 密码套件中输入如下内容:

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AE
S_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521,TLS_
ECDHE_ECDSA,WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256
_GCM_SHA384_P521,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_C
BC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WIT
H_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521,TLS
_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC
_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521,TLS_ECDHE_ECDSA
_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P
384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_ECDSA_WITH_
AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521,TLS
_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,T
LS_RSA_WITH_NULL_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AE
S_128_CBC_SHA

 

步骤4 重启操作系统 

这篇关于【案例63】SSL RC4 加密套件支持检测 (Bar Mitzvah)修复方案的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1115322

相关文章

Java Stream流使用案例深入详解

《JavaStream流使用案例深入详解》:本文主要介绍JavaStream流使用案例详解,本文通过实例代码给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下吧... 目录前言1. Lambda1.1 语法1.2 没参数只有一条语句或者多条语句1.3 一个参数只有一条语句或者多

利用python实现对excel文件进行加密

《利用python实现对excel文件进行加密》由于文件内容的私密性,需要对Excel文件进行加密,保护文件以免给第三方看到,本文将以Python语言为例,和大家讲讲如何对Excel文件进行加密,感兴... 目录前言方法一:使用pywin32库(仅限Windows)方法二:使用msoffcrypto-too

快速修复一个Panic的Linux内核的技巧

《快速修复一个Panic的Linux内核的技巧》Linux系统中运行了不当的mkinitcpio操作导致内核文件不能正常工作,重启的时候,内核启动中止于Panic状态,该怎么解决这个问题呢?下面我们就... 感谢China编程(www.chinasem.cn)网友 鸢一雨音 的投稿写这篇文章是有原因的。为了配置完

MySQL 中的 JSON 查询案例详解

《MySQL中的JSON查询案例详解》:本文主要介绍MySQL的JSON查询的相关知识,本文给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下吧... 目录mysql 的 jsON 路径格式基本结构路径组件详解特殊语法元素实际示例简单路径复杂路径简写操作符注意MySQL 的 J

Python Transformers库(NLP处理库)案例代码讲解

《PythonTransformers库(NLP处理库)案例代码讲解》本文介绍transformers库的全面讲解,包含基础知识、高级用法、案例代码及学习路径,内容经过组织,适合不同阶段的学习者,对... 目录一、基础知识1. Transformers 库简介2. 安装与环境配置3. 快速上手示例二、核心模

Java Response返回值的最佳处理方案

《JavaResponse返回值的最佳处理方案》在开发Web应用程序时,我们经常需要通过HTTP请求从服务器获取响应数据,这些数据可以是JSON、XML、甚至是文件,本篇文章将详细解析Java中处理... 目录摘要概述核心问题:关键技术点:源码解析示例 1:使用HttpURLConnection获取Resp

Java实现优雅日期处理的方案详解

《Java实现优雅日期处理的方案详解》在我们的日常工作中,需要经常处理各种格式,各种类似的的日期或者时间,下面我们就来看看如何使用java处理这样的日期问题吧,感兴趣的小伙伴可以跟随小编一起学习一下... 目录前言一、日期的坑1.1 日期格式化陷阱1.2 时区转换二、优雅方案的进阶之路2.1 线程安全重构2

Python中使用正则表达式精准匹配IP地址的案例

《Python中使用正则表达式精准匹配IP地址的案例》Python的正则表达式(re模块)是完成这个任务的利器,但你知道怎么写才能准确匹配各种合法的IP地址吗,今天我们就来详细探讨这个问题,感兴趣的朋... 目录为什么需要IP正则表达式?IP地址的基本结构基础正则表达式写法精确匹配0-255的数字验证IP地

MySQL高级查询之JOIN、子查询、窗口函数实际案例

《MySQL高级查询之JOIN、子查询、窗口函数实际案例》:本文主要介绍MySQL高级查询之JOIN、子查询、窗口函数实际案例的相关资料,JOIN用于多表关联查询,子查询用于数据筛选和过滤,窗口函... 目录前言1. JOIN(连接查询)1.1 内连接(INNER JOIN)1.2 左连接(LEFT JOI

Java中使用Hutool进行AES加密解密的方法举例

《Java中使用Hutool进行AES加密解密的方法举例》AES是一种对称加密,所谓对称加密就是加密与解密使用的秘钥是一个,下面:本文主要介绍Java中使用Hutool进行AES加密解密的相关资料... 目录前言一、Hutool简介与引入1.1 Hutool简介1.2 引入Hutool二、AES加密解密基础