La herramienta testssl.sh declaró que un servidor que probé es vulnerable al Lucky13 (CVE-2013-0169 ) vulnerabilidad. Debajo de la salida de testssl.sh:
###########################################################
testssl.sh
###########################################################
Testing for LUCKY13 vulnerability
LUCKY13 (CVE-2013-0169) VULNERABLE, uses cipher block chaining (CBC) ciphers
Yo diría que actualizar OpenSSL lo arreglaría. Pero, esto es Windows Server 2012, por lo que no hay OpenSSL allí. ¿Cuál sería la solución adecuada para mitigar esto?
Estaba pensando en:
- Deshabilitando TLS 1.0 por completo;
- Eliminación de todos los cifrados de cadena de bloques de cifrado (CBC).
¿Existen otras mitigaciones para Lucky13 y por qué Microsoft no solo solucionó esto con un parche de seguridad?