Saya perhatikan banyak panduan yang mengatakan Anda harus menonaktifkan dukungan SSL v2 saat mengatur SSL di server web.
Saya tidak mengerti alasannya. Adakah yang bisa memberi tahu saya alasannya?
8
SSL 2.0 cacat dalam berbagai cara: 1
- Kunci kriptografis identik digunakan untuk otentikasi dan enkripsi pesan.
- SSL 2.0 memiliki konstruksi MAC yang lemah yang menggunakan fungsi hash MD5 dengan awalan rahasia, membuatnya rentan terhadap serangan ekstensi yang panjang.
- SSL 2.0 tidak memiliki perlindungan untuk jabat tangan, yang berarti serangan downgrade man-in-the-middle dapat tidak terdeteksi.
- SSL 2.0 menggunakan koneksi TCP tutup untuk menunjukkan akhir data. Ini berarti bahwa serangan pemotongan mungkin terjadi: penyerang hanya menempa TCP FIN, membuat penerima tidak mengetahui akhir pesan data yang tidak sah (SSL 3.0 memperbaiki masalah ini dengan memiliki peringatan penutupan eksplisit).
- SSL 2.0 mengasumsikan satu layanan dan sertifikat domain tetap, yang bertentangan dengan fitur standar hosting virtual di server Web. Ini berarti bahwa sebagian besar situs web secara praktis mengalami gangguan dalam menggunakan SSL. TLS / SNI memperbaikinya tetapi belum digunakan di server Web.
1: http://en.wikipedia.org/wiki/Transport_Layer_Security#SSL_1.0.2C_2.0_and_3.0