在过去几年中,SSL 技术受到了安全界的抨击。虽然技术原因超出了我的理解范围,但我理解其中的概念,当新漏洞被发现时,SSL 变得越来越不安全。 我的问题是: 如果 SSL 被“破解”了,是否有一种技术可以取代它?是否有更安全的替代方案? 欢迎提出任何想法! (附言:我并不特别指 HTTPS - 我的意思是任何 SSL 技术)
SSL并没有被破解。该协议被设计成具有鲁棒性,问题可能存在于特定的密钥套件中,并且修补程序只需使用新的一行配置更改即可轻松解决。攻击方法如SSLStrip是可以预防的,例如使用HTTP STS。 最大的问题是人们没有经常使用HTTPS。这会导致像OWASP a9这样的问题,从而被类似firesheep这样的工具利用。
我不同意之前的回答,认为SSL并非没有漏洞。最近的主要问题之一是CA(证书颁发机构)遭到攻击。SSL旨在使用可信赖的第三方 - 永远如此。如果这些受信任的方之一被攻破,他们就掌握了全部的关键。我们已经看到了一些大名鼎鼎的CA,如Comodo和DigiNotar遭到了攻击。这已经成为一个如此严重的问题,以至于NIST发布了一份有关如何应对CA妥协的ITL公告。因此,我认为尽管SSL/TLS的某些实现仍然在技术上是有效的,但“破裂”的部分是与“信任”来源有关的设计问题。
OpenSSL确实存在一些不安全因素,目前有提议对其进行修复。TACK基于Google引入的一种称为pinning的技术。以下是提交给TLS工作组的内容。 http://tack.io/draft.html