小心了！90%的 SSL *** 使用不安全或過期的加密技術

不少 SSL *** 沒有使用最新的加密技術。

信息安全公司 ——  High-Tech Bridge 進行了一項關於 SSL *** 的調查。研究發現 90% 提供 SSL *** 服務的服務器並無提供應有的安全服務，主要是由於這些服務器使用了不安全以及過期的加密技術。

SSL *** 不一樣於傳統的 IPSec *** ，由於它能夠直接在一個標準的 Web 瀏覽器中使用，不須要在客戶端上安裝額外的專用軟件。 SSL *** 安裝在服務器上，客戶端經過瀏覽器單獨鏈接到 *** 。用戶瀏覽器和 *** 服務端的鏈接經過 SSL 或 TLS 協議加密。

76% 的 SSL *** 使用不受信任的證書

High-Tech Bridge 的研究人員說他們分析了隨機選擇的 10,436 臺 SSL *** 服務器，發現了大多數都極不安全。他們聲稱 77% 的 SSL *** 使用 SSLv3 或 SSLv2 來加密流量。而這兩個版本的 SSL 如今已經被認爲是不安全的。部分國際和國家的安全標準已經禁止使用它們了，如： PCI DSS 和 NIST SP 800-52 。

咱們暫且忽略使用的 SSL 版本，可是 76% 的 SSL *** 服務器還使用了不受信任的證書，這些沒有被證明的 SSL 證書能夠被***者模仿，從而對不知情用戶發起中間人***。 High-Tech Bridge 的專家說致使這樣的狀況是由於不少 SSL *** 服務器不多更新默認的預裝證書。

一些 *** 仍然使用 MD5 來簽名證書。

此外，研究人員還指出，74% 的證書使用 SHA-1 簽名，5% 的證書使用 MD5 哈希，這些技術都是被認爲已通過時了。41% 的SSL *** 也在他們的 RSA 證書上使用長度爲 1024 的不安全密鑰。在過去的幾年裏，任何長度小於 2048 的 RSA 密鑰被認爲是極不安全的。

更糟的是，十分之一的 SSL *** 服務器仍然存在兩年前發現的心臟出血漏洞，儘管有可用的補丁。研究人員說在全部被測試的 SSL *** 中，只有 3% 的服務器是符合 PCI DSS 要求的，沒有服務器符合 NIST (美國國家標準與技術研究所) 的標準。

High-Tech Bridge 也提供了一個供用戶檢測他們的 SSL *** 和 HTTPS 網站是否安全的免費工具。

該安全工具使用地址：https://www.htbridge.com/ssl/

SSL *** 的評級分佈（ F 到 A 安全等級依次增長）：

 

Linux Story 舒適提示，如需瞭解詳情請訪問原文連接

 

原文連接：http://news.softpedia.com/news/90-percent-of-all-ssl-***-use-insecure-or-outdated-encryption-501038.shtml

本文連接：http://www.linuxstory.org/90-percent-of-all-ssl-***-use-insecure-or-outdated-encryption