Servidor SSLv2 habilitado en servidores no web

0

Usando Nessus estoy escaneando nuestra red interna en busca de vulnerabilidades y exploits. He encontrado una gran cantidad de instancias en las que SSLv2 está habilitado y, como resultado, está marcado como una vulnerabilidad. Entiendo las limitaciones de SSLv2 e incluso las limitaciones de SSLv3, por lo que estoy muy contento de continuar deshabilitando SSLv2 en nuestras cajas de Windows 2008 R2. Mi pregunta es si estos servidores no son servidores web y no tienen ninguna razón para que los clientes intenten iniciar una sesión HTTPS, ¿es una vulnerabilidad explotable? ¿Un atacante podría seguir usando un ataque de "retroceso" y conectarse con SSLv2?

    
pregunta JLPH 12.06.2014 - 11:38
fuente

1 respuesta

0

SSLv2, habilitado en un servidor SSL, es una vulnerabilidad potencial solo si se cumplen todas las siguientes condiciones:

  • Hay algún cliente que desea conectarse a ese servidor e intercambiar datos confidenciales a través de ese túnel SSL.
  • El cliente acepta utilizar SSLv2 también.
  • El cliente y el servidor no implementan el sistema de detección de retroceso de versión descrito en RFC 2246, sección E. 2 .

Bajo todas estas suposiciones, entonces un atacante puede forzar al servidor y al cliente a usar SSLv2 aunque ambos admitan SSLv3 o más. Esto, a su vez, puede implicar alguna debilidad según el protocolo subyacente (el mayor problema con SSLv2 es la falta de terminación verificada, por lo que los atacantes pueden forzar el truncamiento silencioso, lo cual es un problema si el protocolo subyacente no es auto-activado. terminado).

Dado lo que dice, es altamente improbable que estos "soporte SSLv2" sean un problema en su caso.

Sin embargo , una pregunta más interesante es: ¿qué son estos servidores de todos modos? ¿Por qué una máquina operaría un servicio de red, lista para hacer SSL, si no hay un cliente destinado? ¿Por qué no apagar estos servicios no utilizados? El problema no es una cuestión de SSLv2 vs SSLv3, sino más bien una cuestión de tener servicios con capacidad de red abiertos sin ninguna razón.

    
respondido por el Tom Leek 12.06.2014 - 13:16
fuente

Lea otras preguntas en las etiquetas