问客户端和服务器都需要实现OpenSSL保护以防止CBC攻击吗？
EN

Cryptography用户

提问于 2014-02-05 22:51:14

回答 1查看 193关注 0票数 2

关于在OpenSSL 0.9.6d中实施的保护(见第2节. http://www.openssl.org/~bodo/tls-cbc.txt)。我的理解是，该机制在发送数据时会添加一个空记录，以便使IV不可预测。但是，客户机->服务器和服务器->客户端维护独立的IV数据。

如果依赖此机制来防范CBC漏洞(如猛兽)，是否需要同时启用此机制？

回答已采纳

发布于 2014-02-05 23:09:42

是的，客户端和服务器都必须启用此机制，才能充分保护客户端和类似的攻击。

特别是，如果客户端是具有脚本功能的浏览器，则必须在每个内容包之前发送空数据包的是客户端实现。只启用此功能服务器端，只意味着服务器将发送此类空数据包。这将不提供针对浏览器的基于脚本的攻击的保护。

票数 1

页面原文内容由Cryptography提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://crypto.stackexchange.com/questions/14349

复制

相似问题

问客户端和服务器都需要实现OpenSSL保护以防止CBC攻击吗？EN