SSL 第 2 版和第 3 版通訊協定偵測

critical Nessus Plugin ID 20007

語系：

概要

遠端服務使用具有已知弱點的通訊協定加密流量。

說明

遠端服務接受使用 SSL 2.0 和/或 SSL 3.0 連線。這些 SSL 版本受到數個密碼編譯瑕疵的影響，包括：

- 具有 CBC 密碼的不安全填補配置。

- 不安全的工作階段重新交涉和恢復配置。

攻擊者可惡意利用這些瑕疵，進行攔截式攻擊或解密受影響服務和用戶端之間的通訊。

雖然 SSL/TLS 可以透過安全的方式選擇通訊協定受支援的最高版本 (因此，只有在用戶端或伺服器支援更好時，才會使用這些版本)，但仍有許多網頁瀏覽器以不安全的方式實作，進而允許攻擊者降級連線 (例如 POODLE 中的連線)。因此，建議完全停用這些通訊協定。

NIST 確定不再接受 SSL 3.0 用於安全通訊。截至 PCI DSS v3.1 中強制執行的日期，任何版本的 SSL 皆不符合 PCI SSC 的「強式密碼編譯」定義。