降级攻击
外观
![本页使用了标题或全文手工转换](http://upload.wikimedia.org/wikipedia/commons/thumb/c/cd/Zh_conversion_icon_m.svg/35px-Zh_conversion_icon_m.svg.png)
此條目或其章節极大或完全地依赖于某个单一的来源。 (2016年10月5日) |
降级攻击(英語:Downgrade attack)是一种对计算机系统或通讯协议的攻击。在降级攻击中,攻击者故意使系统放弃新式、安全性高的工作方式(如加密连接),反而使用为向下兼容而准备的老式、安全性差的工作方式(如明文通讯)。例如,在OpenSSL中曾经存在一个缺陷,从而使攻击者能够让SSL/TLS服务器与客户端建立老版本TLS连接,尽管双方事实上支持新版本。[1]这样的攻击是最常见的降级攻击。
降级攻击常被用于中间人攻击,将加密通讯的安全性大幅削弱,得以进行原本不可能做到的攻击。
去除向下兼容往往是解决降级攻击的有效手段。
参考资料
[编辑]- ^ Praetorian. Man-in-the-Middle TLS Protocol Downgrade Attack. Praetorian. [2016-04-13]. (原始内容存档于2020-03-17) (美国英语).