Detección de sangrado cardíaco [duplicado]

1

Es bastante fácil detectar el ataque cardíaco si todo sucede sobre un texto claro, lo que parece que la mayoría de las cosas están haciendo por el momento. Sin embargo, creo que hay algunas vulnerabilidades que ocurren después del cifrado porque la RFC permite (y sugiere) que las solicitudes de latido se envíen cifradas.

Desde RFC 6520:

  

Un mensaje de HeartbeatRequest puede llegar casi en cualquier momento durante el   vida de una conexión. Cada vez que un mensaje de HeartbeatRequest es
  Recibido, DEBE ser contestado con la correspondiente.   Mensaje de HeartbeatResponse.

     

Sin embargo, un mensaje de HeartbeatRequest NO DEBE enviarse durante
  apretones de manos Si se inicia un apretón de manos mientras que un HeartbeatRequest es
  aún en vuelo, el par que envía DEBE detener la retransmisión de DTLS
  temporizador para ello. El par que recibe DEBE descartar el mensaje
  En silencio, si llega durante el apretón de manos. En caso de DTLS,
  Los mensajes de HeartbeatRequest de épocas anteriores DEBEN descartarse.

Como se indica anteriormente, NO debe enviarse una HeartbeatRequest durante los apretones de manos. Supongo que hoy se están enviando muchos exploits durante el apretón de manos para ser más eficientes.

Si es así, ¿cómo se ve un HeartbeatRequest durante el apretón de manos en comparación con un HeartbeatRequest después de su cifrado, y cómo podemos monitorear y detectar los ataques Heartbleed posteriores a la encriptación en la red (no en el punto final)?

    
pregunta JZeolla 13.04.2014 - 13:21
fuente

1 respuesta

2

Para ser exactos, el RFC recomienda que se realicen latidos legítimos después de que se complete el protocolo de enlace; No recomienda hazañas nunca. (Cumple con enlace que, lamentablemente, nunca llegó a BCP).

Sí , Heartbeat es un tipo de registro distinto (24 o 0x18). Cualquier respuesta más larga que la solicitud por un relleno más que razonable es una prueba de explotación. Cualquier solicitud o respuesta de más de 2 ^ 14 más épsilon también es mala, y diría que algo más de aproximadamente 50 en TLS es sospechoso porque solo sería útil para PMTU y PMTU aquí es útil solo, en todo caso, para DTLS no TLS. No necesitas el texto plano.

    
respondido por el dave_thompson_085 13.04.2014 - 15:27
fuente

Lea otras preguntas en las etiquetas