SSL: ¿Change_cipher protege contra la degradación?

Question

SSL: ¿Change_cipher protege contra la degradación?

#1 de Steffen Ullrich (1 votos)

1

Un extracto de uno de mis cursos sobre SSL / TLS dice lo siguiente,

Este extracto es justo después de la fase Finalización de reconocimiento de SSL (con los mensajes change_cipher_spec y finished ).

Rol de la fase final: contrarrestar el ataque de degradación.

Un atacante podría haber eliminado las suites de cifrado con un cifrado fuerte del mensaje client_hello, haciendo que las entidades acuerden un cifrado más débil.

¿Por qué es útil el change_cipher_spec para contrarrestar el ataque de degradación?

Si un atacado hubiera eliminado el método de encriptación fuerte, y dejando solo los débiles, ya que change_cipher_spec elige un cifrado de client_hello , ¿qué utilidad tiene? Qué me estoy perdiendo ?

tls tls-downgrade

pregunta Arthur Attout 04.06.2018 - 22:45

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls tls-downgrade

¿Los nodos de la red de bots están hechos para dejar de trabajar durante el horario de oficina? Encontró cómo obtener Oauth2 client_id a lo largo del secreto coincidente, pero redirect_uri está en la lista blanca como requisito. ¿Sigue siendo seguro?

score 1 · Accepted Answer

El final del protocolo de enlace se realiza con el mensaje ChangeCipherSpec y Finished como su estado correcto. Pero luego concluye erróneamente desde "Función de la fase final: contrarrestar el ataque de baja de calificación". que el ChangeCipherSpec es el que protege contra el ataque de baja de calificación. Solo que no lo es: el mensaje finalizado se usa para contrarrestar este ataque.

Esta protección funciona porque el mensaje finalizado consiste en un hash que incluye todos los mensajes de intercambio. En caso de un ataque degradado, el atacante ha modificado el ClientHello en tránsito, lo que hace que el servidor tenga una idea diferente de los mensajes de intercambio de manos enviados por el cliente que el propio cliente. Esto significa que el mensaje Finalizado creado por el cliente y recibido por el servidor no satisface las expectativas del servidor y, por lo tanto, se interrumpirá el apretón de manos.