专栏首页FreeBuf国产SSL防火墙 – sslfw

国产SSL防火墙 – sslfw

heartbleed可能会影响到很多客户端软件,包括网络、邮件、聊天工具、FTP、移动应用、V**、甚至软件升级工具等等。简单来讲,任何通过有漏洞的OpenSSL(开放源代码的安全套接层),或使用SSL/TLS安全协议进行通讯的客户,都有可能会遭到网络攻击。 Heartbleed不仅会对网页服务器造成威胁,同时还会威胁到其他很多类型的服务器的安全,其中包括代理服务器、介质服务器、游戏服务器、数据库服务器、聊天服务器以及FTP服务器等。总之,该漏洞可以对几乎所有硬件设备带来安全威胁,例如路由器、程控交换机(商务电话系统)以及通过“物联网”联接的各类设备。

利用Heartbleed漏洞的主要攻击方式

图2.1 客户端对服务器心脏出血攻击

一般来讲,利用Heartbleed发动的攻击通常是被感染的用户发送病毒到安全防护措施不足的服务器,随后服务器上的隐私信息遭到泄露,如图2.1。然而,一种完全相反的攻击路径也可以奏效。安全意识薄弱的用户连接至服务器之后,服务器会发送恶意的Heartbeat信息给该用户,从而窃取用户内存中存储的大量信息,其中很有可能包括一些认证信息或其他用户的隐私数据,如图2.2。

图2.2 服务器对客户端心脏出血攻击

常规Heartbleed防御方式

1、升级openSSL库

原理:升级openSSL版本,从代码层面修复漏洞;
优势:从根本上解决hearbbleed漏洞;
劣势:只能升级以动态库方式调用openSSL的软件;且升级后有使软件无法使用的风险。

2、IDS,IPS防御

原理:以特征库的方式防御Heartbleed;
优势:在现有的安全设备上增加规则,部署简单;
劣势:对正常业务造成困扰,且无法抵御以加密进行Heartbleed攻击的方式。

sslfw的防御方式

原理:协议蜜罐方式防御Heartbleed攻击,抵御任何形式的Heartbleed攻击,从根本上解决Heartbleed攻击的困扰。通过不断更新,从根本上防御后续的0day;

优势:完全解析TLS/SSL协议,彻底防御Heartbleed;后续简单更新openSSL库即可抵挡新的针对TLS/SSL的攻击;

劣势:须安装软件,并导入私钥证书。

下载地址 (本站提供程序(方法)可能存在风险,仅供安全研究与教学之用,风险自负!)

http://ssl.aijinlong.com:90/sslfw.tgz

本文分享自微信公众号 - FreeBuf(freebuf),作者:cj也疯狂

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2014-07-02

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 无线安全工具SySS Radio Hack Box – 寻找无线输入设备中的安全漏洞

    SySS Radio Hack Box是一款针对无线键盘的PoC工具,它可以帮助研究人员利用无线键盘(采用了AES加密的键盘)中的键击注入漏洞来实施攻击。接下来...

    FB客服
  • KITT-Lite:基于Python实现的轻量级命令行渗透测试工具集

    KITT渗透测试框架是一种基于Python实现的轻量级命令行渗透测试工具集,本质上上来说,它就是一个针对渗透测试人员设计的开源解决方案。在KITT的帮助下,广大...

    FB客服
  • BUF字幕组 | Web安全漏洞系列之Open Redirect

    Open Redirect(开放式重定向跳转),利用这种重定向功能,Web应用能够引导用户访问同一应用程序的不同网页或其它的外部站点。Web应用可利用重定向来帮...

    FB客服
  • AI 要抢医生的饭碗?先看看这6点!

    人工智能 要说到时下的热词,“人工智能(AI)”是绝对绕不开的话题。AI已经全面入侵了各行各业,医学也不能例外,小编就在此为大家盘点了AI在医疗行业的6大进展。...

    企鹅号小编
  • 轻量级深度学习端侧推理引擎 MNN,阿里开源!

    数说君导读:MNN,Mobile Neural Network,用于在智能手机、IoT设备等端侧加载深度神经网络模型,进行推理预测。支持 Tensorflow、...

    数说君
  • 贾扬清推荐:阿里开源轻量级深度学习框架 MNN,侧重推理加速和优化

    MNN 是一个轻量级的深度学习端侧推理引擎,核心解决深度神经网络模型在端侧推理运行问题,涵盖深度神经网络模型的优化、转换和推理。目前,MNN 已经在手淘、手猫、...

    新智元
  • Java8 Lambda(二)-Stream原理

    推荐一篇博文,很好的介绍了Stream的原理.本文对其进行一些补充更加详细的讲解.

    屈定
  • My Notepad

    I have spent near more two weeks to write this Notepad application. At this mome...

    Hongten
  • 逻辑条件句、监督和选择任务

    原文标题:Logic Conditionals, Supervenience, and Selection Tasks

    Jarvis Cocker
  • python+ selenium自动化测试

      本来上一篇就是练习篇的最后一篇文章了,但是有的小伙伴私下反映说是做了那么多练习,没有一个比较综合的demo练练手。因此宏哥在这里又补存了一些常见的知识点进...

    北京-宏哥

扫码关注云+社区

领取腾讯云代金券