国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

簡介TLS 1.3

Tecode / 2235人閱讀

摘要：詳見握手過程服務端進行響應消息，中間攻擊者可以查看所有的流量都使用弱加密算法，并將經過中間人，中間人可以隨意查看與修改。具體如圖恢復不具有前向安全性，且消息可能被用作重放攻擊，所以安全性較低，需慎重使用。

0x00 前言
最近在閱讀論文，其中閱讀了 WWW2021的一篇文章“TLS 1.3 in Practice: How TLS 1.3 Contributes to the Internet”。在本篇文章中，作者對當下TLS 1.3在實際中的采用率、安全性、性能和實現進行了大規模的測量。下面是對TLS 1.3 的一些優勢與特性的總結。

0x01 什么是TLS？
TLS代表傳輸層安全性并且是SSL（安全套接字層）的后繼者。TLS提供了Web瀏覽器和服務器之間的安全通信。連接本身是安全的，因為使用對稱密碼術對傳輸的數據進行加密。密鑰是為每個連接唯一生成的，并且基于在會話開始時協商的共享機密（也稱為TLS握手）。

0x02 TLS 1.3 &&TLS 1.2
在過去十年中，部署了最新的TLS版本1.3 ，解決了其前身(即TLS 1.2 )的關鍵漏洞，如BEAST和FREAK攻擊。TLS 1.3的標準化工作始于2013年8月，隨著安全性和性能的提高，于2018年8月完成。

安全性提高
廢除不支持前向安全性的 RSA 和 DH 密鑰交換算法；
MAC 只使用 AEAD 算法；
禁用 RC4 / SHA1 等不安全的算法；
加密握手消息；
兼容中間設備 TLS 1.2；
加密握手消息。
另外，TLS 1.2容易受到中間人攻擊和降級攻擊（FREAK）。TLS 1.3 彌補了TLS 1.2 的缺陷，使其不易受到攻擊。

降級攻擊（FREAK）原理

主要原因，TLS1.2 握手部分協商使用哪種密碼，并沒有進行加密數字簽名。而 TLS 1.3 對握手信息進行了加密處理。

Phase 1：在客戶端發出的Hello消息中，它會請求標準的加密，中間人攻擊者會改變請求內容，轉而請求“40 bit 密鑰的出口級的加密算法”（弱加密算法）

Phase 2：服務端會回復一個出口級的密鑰，由于OpenSSL/Secure傳輸的bug，客戶端會接受這個存在漏洞的密鑰

Phase 3：攻擊者進行爆破40bit密鑰，以便能夠偽造mac，進行消息修改。詳見TLS 1.2 握手過程.

Phase 4：服務端進行響應消息，中間攻擊者可以查看.

所有的流量都使用弱加密算法，并將經過中間人，中間人可以隨意查看與修改。

Export 加密算法
Export是一種老舊的弱加密算法，是被美國法律標示為可出口的加密算法，其限制對稱加密最大強度位數為40位，限制密鑰交換強度為最大512位。這是一個現今被強制丟棄的算法。

性能提高
TLS和加密連接在網絡性能方面總是會增加一些開銷。HTTP / 2確實可以解決此問題，但是TLS 1.3通過諸如TLS錯誤啟動和零往返時間（0-RTT）之類的功能，甚至可以進一步提高加密連接的速度。

1-RTT模式
簡而言之，對于TLS 1.2，需要兩次往返來完成TLS握手。在1.3版本中，它只需要一個往返， 這反過來又將加密延遲減少了一半。這有助于使那些加密的連接比以前更靈活。

具體來說，在TLS 1.2的第二次往返中，客戶機Hello和服務器Hello消息與密鑰交換消息相結合。

0-RTT恢復
TLS1.3通過引入early_data擴展0-RTT恢復與先前訪問的網站的會話 ，對于恢復的會話，在發送應用程序數據之前沒有握手過程。它允許客戶端將應用程序數據與第一個握手消息一起發送。相比之下，TLS 1.2在發送應用程序數據之前需要一個RTT。

在TLS 1.2中，有兩種恢復連接的方法：會話ID和會話票據。TLS 1.3把這倆結合在一起形成了新模式稱為PSK（預共享密鑰）恢復。具體是，在建立會話之后，客戶端和服務器可以派生一個共享的密鑰，叫做“恢復主密鑰”。可以將其存儲在服務器上（會話ID的形式），也可以使用僅服務器已知的密鑰進行加密（會話票據形式）。此會話票據將發送給客戶端，并在恢復連接時進行交換。

對于恢復連接，雙方共享恢復的主密鑰，不需要進行密鑰交換。客戶端下一次連接到服務器時，它可以從上一個會話中獲取密鑰，并使用它來加密應用程序數據和會話票據一起發送到服務器。具體如圖:

0-RTT恢復不具有前向安全性，且消息可能被用作重放攻擊，所以安全性較低，需慎重使用。

0-RTT 重放攻擊原理

如果攻擊者捕獲了發送到服務器的0-RTT數據包，則他們可以重放該數據包，并且服務器可能會將其視為有效。這可能會產生負面后果。

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/126245.html

相關文章

  • Node12有哪些值得關注的新特性？

    摘要：再之后會有個月的延長維護期。期間支持的變更嚴重的，嚴重的安全問題或者文檔更新。已經成為協議的一個重大更新，并且正在積極地在上集成。此外，默認情況下已禁用和，并且庫已刪除已棄用的函數。 前言 時隔一年，Node.js 12 如約而至，正式發布第一個 Current 版本。它將從2019年10月開始進入長期支持（LTS）版本直到2022年4月。 該版本帶來的新特性： V8 更新帶來好多不...

    kaka 評論0 收藏0

  • JDK11新特性解讀

    摘要：千呼萬喚，于正式發布版本即，也就是官方推薦可以廣泛使用的版本，其中發布了包括等個新特性，讓我們一睹為快。一新特性一覽二發布計劃日期階段說明對進入階段的變化會應用越來越嚴格的審查。我們需要支持以保持競爭力并與最新標準保持同步。 千呼萬喚，JDK11于2018-09-25正式發布GA版本(GA即General Availability，也就是官方推薦可以廣泛使用的版本)，其中發布了包括ZG...

    piglei 評論0 收藏0

  • 精讀《Nodejs V12》

    摘要：更好的安全性隨著的發布，從升級到了，更安全且更易配置。通過使用，程序可以減少握手所需時間來提升請求性能。提供診斷報告有一項實驗功能，根據用戶需求提供診斷報告，包括崩潰性能下降內存泄露使用高等等。前端精讀幫你篩選靠譜的內容。 1. 引言 Node12 發布有幾個月了，讓我們跟隨 Nodejs 12 一起看看 Node12 帶來了哪些改變。 2. 概述 Node12 與以往的版本不同，帶來...

    CoderStudy 評論0 收藏0

發表評論

0條評論

最新活動
閱讀需要支付1元查看
<