Preguntas con etiqueta 'beast'

preguntas con etiqueta
2
respuestas

cómo experimentar con ataques BEAST

de la investigación básica, mi entendimiento es: es vulnerable en TLS 1.0 en SSL 3 El atacante puede inyectar javascript y pasar un texto conocido a algún servidor donde el atacante obtendrá la versión cifrada del texto plano conocido y así e...
hecha 08.09.2013 - 21:56
1
respuesta

¿Los ataques de BESTIA y CRIMEN se aplican a un servicio IMAP?

Al configurar el servicio IMAP de Dovecot, noté que los parámetros predeterminados no son óptimos, por ejemplo, permite SSLv3. Usando el programa TestSSLServer.java de Thomas Pournin, vi lo siguiente: ... Minimal encryption strength: str...
hecha 15.02.2014 - 12:07
1
respuesta

Detectando POODLE y BEAST usando nmap

Necesita su consejo experto para lo siguiente - POODLE - Podemos deducir si un servidor es vulnerable a poodle si admite el protocolo sslv3 y utiliza cifrados CBC. BESTIA: cualquier servidor que admita sslv3 OR TLS 1.0 y use CBC Cifrado...
hecha 18.02.2016 - 19:31
1
respuesta

¿Es RDP susceptible al ataque BEAST?

Tengo servidores Windows 2008 R2 que están fallando en un análisis de vulnerabilidad de PCI porque tienen RDP habilitado (se debe deshabilitar). He aplicado la configuración de PCI de herramienta IISCrypto , pero tengo que dejar TLS 1.0 habi...
hecha 16.02.2015 - 06:17
3
respuestas

¿Tiene sentido mantener RC4?

Sé que el cifrado RC4 cuando se usa con SSL es vulnerable a ciertos ataques , que en el peor de los casos podrían resultar en el robo de tokens de autenticación. Pero RC4 también se recomienda como cifrado para mitigar el ataque BEAST. ¿Es u...
hecha 13.12.2013 - 23:30
1
respuesta

OpenSSL: habilita conjuntos de cifrado por versión de protocolo

¿Existe una manera de configurar explícitamente OpenSSL para permitir AES (o en general, cifrados en bloque) solo para clientes que usan una versión TLS > = 1.1? Esto protegería contra el ataque de BESTIA, a la vez que permite el uso de ci...
hecha 09.09.2013 - 18:24
1
respuesta

terminología de las suites "Must have" y "Preferred Cipher"

Recibí el siguiente consejo para configurar conjuntos de cifrado para mitigar adecuadamente el ataque de Bestia en un servidor HTTPD Apache recién configurado. Preferred ciphers: RC4-SHA, RC4-MD5 Must Have Ciphers: AES256-SHA, AES128-S...
hecha 19.10.2013 - 01:15
1
respuesta

BEAST algunos malentendidos

Estaba leyendo el Aquí viene el El documento ⊕ Ninjas sobre el ataque BEAST descubierto por Thai Duong & Juliano Rizzo. Hay dos puntos que no puedo entender. En la sección 5 - Aplicación: descifrado de solicitudes HTTPS , explican pa...
hecha 29.03.2015 - 15:15
1
respuesta

¿Existe una vulnerabilidad cuando se descifra TLS y luego se encripta con OpenSSL que es vulnerable a BEAST o CRIME?

Supongamos que existe el siguiente proxy TLS User <-----> Load Balancer that decrypts, encrypts <------> WebServer Cuando el servidor web ejecuta una versión vulnerable de OpenSSL. ¿Puede el usuario explotar el servidor web...
hecha 10.08.2015 - 16:13
3
respuestas

CRIME ataque: si se puede inyectar Javascript en la máquina atacada, ¿por qué no enviar directamente la cookie a un servidor de eliminación?

Leí sobre el CRIME: ¿Cómo vencer al sucesor de BESTIA? pregunta y respuesta, pero no entiendo que: si se puede inyectar y ejecutar Javascript en la máquina atacada, ¿por qué no enviar directamente la cookie secreta como una solicitud AJAX a un...
hecha 09.09.2015 - 03:52