Banner agarrando las versiones de OpenSSL con OpenSSL

Question

Banner agarrando las versiones de OpenSSL con OpenSSL

#1 de Steffen Ullrich (2 votos)
#2 de Marcin (0 votos)

1

Con las noticias recientes sobre una nueva vulnerabilidad de OpenSSL (que solo afecta a la versión 1.0.2), busco realizar algunas investigaciones y me preguntaba si habría una manera de identificar qué versión de OpenSSL está ejecutando un servidor (sin usar Nmap). Idealmente, me gustaría usar OpenSSL para identificar la versión del servidor.

¿Hay alguna forma de que s_client con otros parámetros se pueda usar para forzar a un servidor a desechar la versión en uso? ¿Tal vez renegociación clave?

Gracias.

encryption openssl

pregunta Sevaara 02.02.2016 - 15:12

fuente

2 respuestas

0

Las pancartas se pueden falsificar fácilmente. Sin embargo, si un servidor responde con AES-GCM y TLS1.2, sabrá que tiene un OpenSSL bastante nuevo en el otro extremo. Utilizaría el ssl-cipher-enum de nmap para determinar qué protocolos y los cifrados están disponibles y los asignan a las versiones que los admiten.

respondido por el Marcin 02.02.2016 - 21:16

fuente

Lea otras preguntas en las etiquetas encryption openssl

Nmap scan dando un resultado diferente a la configuración de mis iptables ¿Desearía normalmente monitorear todos los puertos para el monitoreo NIDS? Si es así, ¿el puerto span o la red tocan el camino a seguir?

score 2 · Accepted Answer

No hay nada como un "tipo y versión de pila TLS" en la especificación TLS. OpenSSL por sí mismo tampoco tiene ningún tipo de característica no estándar que le permita solicitar la versión a un servidor. Por lo tanto, no se obtiene información tan explícita en el nivel de protocolo. Puede intentar adivinar la versión basada en cambios de comportamiento o cifrados específicos que solo existen desde una versión específica de OpenSSL, pero es poco probable que obtenga un resultado muy específico de esta manera.

También puede obtener una versión dentro del encabezado del servidor del servidor HTTP, es decir, algo como Apache/2.2.24 (Unix) mod_ssl/2.2.24 OpenSSL/1.0.0.e . Pero esto puede ser fácilmente falsificado.

Por otra parte, dudo que sea útil obtener la versión OpenSSL de forma remota. Al menos esto no se puede usar para averiguar si el servidor está afectado por un problema de seguridad específico. Las correcciones por problemas de seguridad generalmente son respaldadas por el distribuidor y, por lo tanto, aún puede ser un poco OpenSSL 1.0.2e, pero contiene las correcciones de seguridad (pero no las características) de versiones posteriores.