0

SSLv3.0/TLSv1.0 を特定の暗号化技術 (CBC ブロック暗号) と組み合わせて使用​​すると、攻撃者は後続の SSL パケットのいわゆる初期化ベクトルを予測できる可能性があります。この情報を使用して、攻撃者は別のユーザーの安全なセッションにアクセスできます。BEAST (Browser Exploit Against SSL/TLS) と名付けられたこの攻撃は、Web サーバーではなく、ユーザーのブラウザーを対象としています。それでも、攻撃の成功を防ぐために、サーバー側でも対策を講じることは可能です。

この問題の完全な解決策は、SSLv3.0/TLSv1.0 を使用する場合に、脆弱な暗号化暗号 (CBC ブロック暗号) のサポートを無効にするか、優先順位を下げることです。通常、これは、暗号ネゴシエーション プロセスで RC4 暗号を優先することで実現できます。

SSLv3.0/TLSv1.0 をサポートする Apache Web サーバーの場合、次の構成を追加することでこれを構成できます。

SSLProtocol All –SSlv2
SSLHonorCipherOrder On
SSLCipherSuite RC4-SHA:HIGH:!ADH

SSLv3.1/TLSv1.1 以降をサポートする Apache Web サーバーの場合、次の構成を使用することをお勧めします。

SSLProtocol All –SSlv2
SSLHonorCipherOrder On  
SSLCipherSuite ECDHE-RSA-AES256-SHA384:AES256-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH:!AESGCM

私の知る限り、JBoss 7 は SSLv3.1/TLSv1.1 をサポートする Apache のバージョンに基づいているため (おそらく私が間違っているかもしれません)、2 番目の代替案を JBoss 7 に適用できます。

私の質問は次のとおりです。どこで/どのように構成すればよいですか?

4

1 に答える 1

0

獣の攻撃で妄想しないでください。このOracle fix the issue によると、JBoss とは直接関係なく、JVM の問題です。ここで述べたように、ビーストアタックを現実の世界に適用するのは難しい. JVM と JBoss が最新であることを確認してください。それでも疑問がある場合は、Apache や nginx などのリバース プロキシの背後で JBoss を実行することをお勧めします。

于 2012-12-06T00:23:23.020 に答える