TLS/SSLv3 Renegotiation Vulnerability
In hoeverre zijn er momenteel maatregelen te nemen om het risico van deze vulnerability te verlagen binnen je netwerk totdat er een definitieve oplossing voorhanden is ? Wat is bijvoorbeeld de impact van het uitschakelen van renegotiation op servers, zoals wordt aangeraden in de G-Sec whitepaper *), en welke andere mogelijkheden zijn er op server- of netwerklevel ?
*) Zie: TLS & SSLv3 Vulnerabilities Explained (<a href="http://www.g-sec.lu/practicaltls.pdf" target="_blank">http://www.g-sec.lu/practicaltls.pdf</a>)
Tevens is er al een update van Cisco en Sun als ik het goed heb.
Daarnaast zie ik voor dit probleem niet snel een echt werkende exploit komen. Een echte MiTM is het niet. Meer een unsecure eenmalige mogelijke POST.
Een "echt werkende exploit" is beschreven hier: http://www.theregister.co.uk/2009/11/14/ssl_renegotiation_bug_exploited/.
Er zijn nog helemaal geen updates voor Cisco / Sun.
"OpenSSL en verschillende distro's hebben al een oplossing. "
Klopt, al betekent dat niet dat je in een omgeving met tienduizenden servers blindelins alles kunt migreren naar OpenSSL (net zo min als je blindelings renegotiation op iedere server kunt uitschakelen). Wat dat betreft zal dat op sommige servers een oplossing zijn, maar lang niet op ieder systeem.
"Daarnaast zie ik voor dit probleem niet snel een echt werkende exploit komen. "
Een werkende exploit is er al. Zag je overigens een maand geleden een security vulnerability in TLS/SSLv3 komen ? Waarschijnlijk niet ?....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
