警告逻辑和Diffie-Hellman

推荐编辑

警告逻辑网络入侵检测系统不支持使用Diffie-Hellman键交换 web/HTTPS传输解释为什么我们不使用Diffie-Hellman,有必要讨论相关因素并描述Diffie-Hellman如何保证两方通信文章还详解支持Diffie-Hellman数学

网络入侵检测

网络ISS有能力解密并检查HTTPS/TLS通信量,以便在客户环境内连接端点(服务器)。检验能力不检查环境内客户到客户环境外端点的流量,例如桌面用户连接外部安全网站时hth登录平台此类交通检验超出IDS解决方案范畴,并往往由HTTPS/TLS检验解决方案完成,这些解决方案嵌入客户与服务器之间的内插中间人(代理中间人)。

SSL/TLS 会话密钥

SSL/TLS上下文中,会话密钥是加密解密通信时用的小密钥,发送时用SSL/TLS连接

键协议协议,像RSA协议,工作分享会话密钥,从一方发送到另一方网络会话密钥用服务器公钥加密,只能用服务器私钥解密私有密钥可解密会话密钥并用它解密其余流量即会话因此,拥有证书和服务器私钥允许网络IDS和网络应用IDS检查SSL/TLS流量

网络IDS为何不支持Diffie-Hellman

diffie-Hellman密钥协议不分享会话密钥,也不分享计算会话密钥需要的所有值取而代之的是,它依赖数项共享值和某些保密(非共享)值之间的特殊数学关系,允许各方独立计算会话密钥允许Diffie-Hellman提供完全前向保密并预防中人攻击第三方即使拥有私有密钥并检查客户端和服务器共享的所有值,它也不会拥有计算会话密钥所需的全部值,因此无法解密会话期间发送的流量

diffie-Hellman因无能力破解流量,不支持它为网络IDS和Web应用IDS交换密钥协议或需要被动检查加密流量的任何其他解决方案解密交通使用Diffie-Hellman解决方案需要拦截并终止连接握手并充当中间人或代理网络IDS不是内联解决之道,它不截取连接

diffie-Hellman最安全交换密钥协议hth登录平台似乎有点讽刺的是,警告逻辑解决方案需要使用不强性协议,以便能执行检测威胁功能,但权衡被认为是有理的。检查检测加密交通威胁的好处大于不使用Diffie-Hellman

客户想继续使用Diffie-Hellman键交换客户与环境推荐客户在运抵服务器前终止负载平衡器或模拟器设备 HTTPS连接操作终止时,它允许IDS检查HTTP负载平衡器和服务器之间的流量,并仍然允许Diffie-Hellman键交换器在流量离开环境时使用在有些情况下,网络预置环境IDS可能需要重新配置,网络IDS才能检查从负载波波拉器到服务器的流量。华体会联盟hth万无此选项时, Rackspace建议使用网络应用防火墙HTTPS除网络ids外还终止网络ids检验网络流量

如何查找服务器支持Diffie-Hellman

一种方法检验服务器或端点支持Diffie-Hellman使用nmap工具并选项 ssl-enum密码脚本列表所有支持密码套件全部密码套房列DHDHE或ECDHE使用Diffie-Hellman

map-scriptsl-enum密码-p

例举 :

map-scriptsl-enum-cphers-p 443 10.54.4211启动nmap7.31PORT STATE SERVICE 443/tcp open https | ssl-enum-ciphers: | TLSv1.0: | ciphers: | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp256r1) - A | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (secp256r1) - A | TLS_DHE_RSA_WITH_AES_256_CBC_SHA (dh 1024) - A | TLS_DHE_RSA_WITH_AES_128_CBC_SHA (dh 1024) - A | TLS_RSA_WITH_AES_256_CBC_SHA (rsa 2048) - A | TLS_RSA_WITH_AES_128_CBC_SHA (rsa 2048) - A | TLS_RSA_WITH_3DES_EDE_CBC_SHA (rsa 2048) - C | TLS_RSA_WITH_RC4_128_SHA (rsa 2048) - C | TLS_RSA_WITH_RC4_128_MD5 (rsa 2048) - C | compressors: | NULL | cipher preference: server | warnings: | 64-bit block cipher 3DES vulnerable to SWEET32 attack | Broken cipher RC4 is deprecated by RFC 7465 | Ciphersuite uses MD5 for message integrity | Key exchange (dh 1024) of lower strength than certificate key |_ least strength: C MAC Address: 12:34:56:78:9A:BC (Unknown) Nmap done: 1 IP address (1 host up) scanned in 0.45 seconds

Diffie-Hellman后数学

下图为Diffie-Hellman键交换协议计算密钥时使用数学显示计算密钥需要的两个值(c和d)永不共享协议不易中位拦截密钥或计算它需要的所有值

爱丽丝选择二素数g和p并分享 Bob爱丽丝取密数c计算A=gc模式pAlice和Bob分享数ABob选择自己的秘密数d并计算B=gd模式pBob和Alice分享B数Alice取B计算kA=bc模式pBob取A计算kB=add

adddpkb

第三方观察者无法取出共享密钥

更新 29天前