DROWN 취약점 공격 주의!

DROWN 취약점 공격 주의!

DROWN 취약점이란  “Decrypting RSA with Obsolete and Weakened eNcryption: 취약한 구식 암호화법을 통한 RSA 복호화”에서 따온 이름으로, SSLv2취약점을 악용한 교차 프로토콜 공격입니다.

원리

최신 서버와 클라이언트들은 TLS 프로토콜을 이용하여 암호화 통신을 합니다. 하지만 많은 서버들이 여전히 SSLv2도 지원을 하며, 디폴트로 SSLv2 연결을 허용하지 않는 서버들도 관리자들이 어플리케이션을 최적화 하는 도중 의도치 않게 설정이 변경되는 경우도 있습니다. DROWN 공격은 SSLv2를 지원하는 것만으로도 서버와 클라이언트에 큰 위협이 될 수 있음을 보여줍니다.

DROWN 공격은 공격자가 특별히 제작한 악성 패킷을 서버로 보내는 방법을 이용하여 HTTPS 연결을 복호화 하거나, 다른 서버에 인증서가 공유 되어 있을 경우 MITM공격을 실행할 수 있게 됩니다. 

취약한 버전

Apache

2.4.x 버전 이외의 모든 버전

Nginx

0.7.64, 0.8.18 및 그 이전 버전

Postfix

2.9.14, 2.10.8, 2.11.6, 3.0.2 이전 버전

OpenSSL

1.0.2a, 1.0.1m, 1.0.0r, 0.9.8zf 및 그 이전버전

취약점 점검 

취약점 점검 페이지에서 취약점 점검을 할 수 있습니다. 

▶ 취약점 점검 하러가기

패치

OpenSSL 업그레이드

CentOS, Redhat 

#yum clean

#yum update openssl

Ubuntu

#apt-get upgrade openssl

IIS / NSS 

SSLv2 사용안함으로 설정

Apache

SSLv2 사용 안함으로 설정

아파치 설정파일 변경(httpd.conf)

# vi httpd.conf

......

SSLProtocol -all +TLSv1.1 +TLSv1.2

SSLCipherSuite HIGH:!aNULL:!MD5:!SSLv2:!SSLv3:!TLSv1

......

# service httpd restart

Ngix

SSLv2 사용안함으로 설정

ssl_protocols TLSv1.1 TLSv1.2;

nigx 재시작

Postfix

SSLv2 사용안함으로 설정

smtpd_tls_protocols = !SSLv2, !SSLv3

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3

tlsproxy_tls_protocols = $smtpd_tls_protocols

tlsproxy_tls_mandatory_protocols = $smtpd_tls_mandatory_protocols

smtp_tls_protocols = !SSLv2, !SSLv3

smtp_tls_mandatory_protocols = !SSLv2, !SSLv3

lmtp_tls_protocols = !SSLv2, !SSLv3

lmtp_tls_mandatory_protocols = !SSLv2, !SSLv3

smtpd_tls_ciphers = medium

smtp_tls_ciphers = medium

smtpd_tls_dh1024_param_file=${config_directory}/dh2048.pem

smtpd_tls_eecdh_grade = strong

smtpd_tls_exclude_ciphers =

EXPORT, LOW, MD5, SEED, IDEA, RC2

smtp_tls_exclude_ciphers =

EXPORT, LOW, MD5, aDSS, kECDHe, kECDHr, kDHd, kDHr, SEED, IDEA, RC2

참고 : 

https://drownattack.com/

https://www.openssl.org/news/secadv/20160301.txt