SSL 및 세션 도용/고정

빠른 질문. SSL은 세션 하이재킹/고정을 완전히 방지합니까? 감사.SSL 및 세션 도용/고정

2012-05-29 Anonymous

호 가로 채기는 이러한 시나리오에서 예를 들어 수행 할 수 있습니다 :

해킹 CA 루트 표지판 유효하지 않은 인증서를. 인증서는 man-in-the-middle 공격을 수행하는 데 사용될 수 있습니다.
해킹 된 도메인 소유자 전자 메일받은 편지함을 사용하면 해커가 도메인 유효성이 검사 된 인증서를 구매할 수 있습니다.
나쁜 키 정책을 사용하면 공격자가 인증서의 개인 키를 확보 할 수 있습니다.
클라이언트 컴퓨터를 로컬 공격하면 세션 쿠키 읽기, SSL 트래픽 가로 채기, 시스템 키 체인에 잘못된 CA 루트 인증서 삽입 등의 작업을 시스템에서 볼 수 있습니다.
공격자가 서버에 침입하여 트래픽을 가로 채거나, 패킷을 라우팅하거나, 중요한 시스템 파일을 읽는 등 여러 가지 방법으로 사용할 수 있습니다.
클라이언트 라이브러리는 SSL 인증서의 유효성을 검사하고 유효하지 않거나 만료 된 인증서로 세션을 거부해야합니다. 그렇지 않으면 일반 텍스트처럼 HTTP 트래픽을 가로 챌 수 있습니다.
쿠키를 멀리 보내는 XSS 공격이있을 수 있습니다. 웹 브라우저는 이에 대비하여 보호해야하지만 모든 구성 요소가 예상대로 작동하는지 전혀 알 수 없습니다.

2012-05-29 15:20:43

답변 감사합니다. 매우 도움이됩니다. –

공격자가 세션 쿠키가 무엇인지 사용자가 묻는 것을 잊지 말고 사용자가 알려줍니다. –

폭발, 정확합니다. 그러나 세션 쿠키에 대해 이러한 공격을 수행하는 것은 어렵다고 생각합니다. 사람들이 쿠키를 저장하고 올바른 쿠키를 찾도록하는 것보다 사용자 이름과 암호를 묻는 것이 훨씬 쉽습니다. –

답변