研究人员将演示攻击SSL/TLS

- Tim - Solidot

9月21日布宜诺斯艾利斯举行的Ekoparty安全会议上，安全研究人员Thai Duong和Juliano Rizzo将演示针对SSL/TLS的概念验证攻击. 研究人员在SSL/TLS协议中发现了严重弱点，能让黑客悄悄破译Web服务器和终端用户浏览器之间传输的加密数据. 弱点主要影响TLS协议1.0版及SSL所有版本，TLS 1.1/1.2未受影响.

研究人员发布SSL-DOS攻击工具

- 軒轅無雙 - Solidot

研究人员发布了一个攻击工具，任何人都可以把提供SSL安全连接的网站攻击下线，新的方法被称为SSL拒绝服务攻击（SSL DOS）. 德国黑客组织“The Hacker’s Choice”发布了THC SSL DOS，利用SSL中的已知弱点，迅速消耗服务器资源，与传统DDoS工具不同的是，它不需要任何带宽，只需要一台执行单一攻击的电脑.

研究人员发布SSL-DoS攻击工具

- dunqiu - cnBeta.COM

感谢MontBlancs的投递. 研究人员发布了一个攻击工具，任何人都可以把提供SSL安全连接的网站攻击下线，新的方法被称为SSL拒绝服务攻击（SSL DOS）. 德国黑客组织“The Hacker’s Choice”发布了THC SSL DOS，利用SSL中的已知弱点，迅速消耗服务器资源，与传统DDoS工具不同的是，它不需要任何带宽，只需要一台执行单一攻击的电脑.

SSL窃听攻击实操

- snowflip - 狂人山庄 | Silence,声仔,吴洪声,奶罩

OK，我恶毒的心灵又开始蠢蠢欲动了. 今天带给大家的是SSL窃听攻击从理论到实际操作的成功例子. SSL窃听最主要的是你要有一张合法的SSL证书，并且证书名称必须和被攻击的网站域名一致. 目前各大CA都有很低廉价格的SSL证书申请，最低的价格只需要10美元不到，甚至还有一些域名注册商大批量采购这些证书，并且在你注册域名的时候免费送你一张.

51开源社区写道 "研究者最近发现了一个存在于TLS 1.0(目前使用最广泛的安全加密协议)的重大漏洞. 利用该漏洞，黑客可以悄悄解密客户端和服务器端之间通过HTTPS传输的数据. 本周在布宜诺斯艾利斯举行的黑客技术研讨会上，Thai Duong和Juliano Rizzo将展示一个利用此漏洞的方式，使用称为BEAST的脚本，配合一个网络连接嗅探器即可在30分钟内解密一个PayPal的用户Cookie.

Chrome 即将更新以对付攻击 SSL 协议的 BEAST

- ROY - 谷奥——探寻谷歌的奥秘

感谢 Dante Jiang 的爆料和翻译. 实际上对付BEAST对SSL攻击的工作从今年 5、6 月份就展开了. BEAST 的两位研究人员也没在本周五正式发表前透露太多细节，不过 Google 显然不打算冒任何风险. BEAST 利用选择明文恢复（chosen plaintext-recovery）攻击 SSL 和 TLS 早期版本的 AES 加密，其中被称为加密块连锁（cypher block chaining）的加密方式使用之前的加密块对下一个块进行加密.

研究人员揭露SSL库及其应用在非浏览器服务上的安全漏洞

- - InfoQ cn

美国德州大学奥斯汀分校和斯坦福大学的研究人员公布了他们的研究成果，研究表明大众认为高度安全的SSL库，在非浏览器应用使用的过程中存在严重的漏洞. 这些需要高度安全保障的关键性服务包括银行服务、电子商务用户的SDK及关键程度稍低一些的软件服务，如云存储服务和通讯服务. 这篇文章指出了以下问题：对抗测试表现不佳、SSL库本身存在漏洞，程序调用SSL库的过程中存在漏洞，查找深藏在堆栈中的漏洞复杂，以及开发人员普遍禁用证书验证的不安全的实践.

nginx配置ssl

- - 邢红瑞的blog

先生成网关证书，仿照CA模式.

研究人员将演示攻击SSL/TLS

相关 [研究攻击 ssl] 推荐：