Google发布SSLv3漏洞简要分析报告

约定不等于承诺〃 2021-12-17 14:57 180阅读 0赞

**摘要：**今天上午，Google发布了一份关于SSLv3漏洞的简要分析报告。根据Google的说法，该漏洞贯穿于所有的SSLv3版本中，利用该漏洞，黑客可以通过中间人攻击等类似的方式(只要劫持到的数据加密两端均使用SSL3.0)，便可以成功获取到传输数据(例如cookies)。

作者：FreebuF.COM 来源：ZDNet安全频道 | 2014年10月15日 11:59:26

关键字：[Google][] [SSLv3漏洞][SSLv3]

![Heartbleed-Refresh.jpg][]

今天上午，Google发布了一份关于SSLv3漏洞的简要分析报告。根据Google的说法，**该漏洞贯穿于所有的SSLv3版本中，利用该漏洞，黑客可以通过中间人攻击等类似的方式(只要劫持到的数据加密两端均使用SSL3.0)，便可以成功获取到传输数据(例如cookies)。**截止到发文前，还没有任何补丁放出来。

**对此Google表示，他们只能给出一个无奈的建议：关闭客户端SSLv3支持或者服务器SSLv3支持或者两者全部关闭。**

另外，Google已经明确表态将在接下来的数月中，逐步从其服务中撤销掉SSLv3的支持。

![IMG\_2976.JPG][IMG_2976.JPG]

**FreeBuf修复建议(感谢[红黄满][Link 1]提供)：**

**Nginx：**

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:RC4-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!DSS:!PKS;
    ssl_session_timeout 5m;
    ssl_session_cache builtin:1000 shared:SSL:10m;

**Apache:**

SSLProtocol all -SSLv2 -SSLv3
    SSLHonorCipherOrder on
    SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:RC4-SHA:!aNULL:!MD5:!DSS

**报告原文地址**

[http://googleonlinesecurity.blogspot.com/2014/10/this-poodle-bites-exploiting-ssl-30.html?m=1][http_googleonlinesecurity.blogspot.com_2014_10_this-poodle-bites-exploiting-ssl-30.html_m_1]

http://security.zdnet.com.cn/security\_zone/2014/1015/3036303.shtml

转载于:https://www.cnblogs.com/kungfupanda/p/4760931.html

[Google]: http://security.zdnet.com.cn/files/klist-125-327590-1.htm
[SSLv3]: http://security.zdnet.com.cn/files/klist-125-336158-1.htm
[Heartbleed-Refresh.jpg]: /images/20211217/c140bec23c214bc89aabae2580b50028.png
[IMG_2976.JPG]: /images/20211217/9f4928f1d1b04c859a7933bc6f127d98.png
[Link 1]: http://weibo.com/hysia
[http_googleonlinesecurity.blogspot.com_2014_10_this-poodle-bites-exploiting-ssl-30.html_m_1]: http://googleonlinesecurity.blogspot.com/2014/10/this-poodle-bites-exploiting-ssl-30.html?m=1