상세 컨텐츠

본문 제목

DROWN 취약점 공격 주의!

국내외 보안동향

by 알약(Alyac) 2016. 3. 2. 16:23

본문

DROWN 취약점 공격 주의!


DROWN 취약점이란  “Decrypting RSA with Obsolete and Weakened eNcryption: 취약한 구식 암호화법을 통한 RSA 복호화”에서 따온 이름으로, SSLv2취약점을 악용한 교차 프로토콜 공격입니다.


원리


최신 서버와 클라이언트들은 TLS 프로토콜을 이용하여 암호화 통신을 합니다. 하지만 많은 서버들이 여전히 SSLv2도 지원을 하며, 디폴트로 SSLv2 연결을 허용하지 않는 서버들도 관리자들이 어플리케이션을 최적화 하는 도중 의도치 않게 설정이 변경되는 경우도 있습니다. DROWN 공격은 SSLv2를 지원하는 것만으로도 서버와 클라이언트에 큰 위협이 될 수 있음을 보여줍니다.


DROWN 공격은 공격자가 특별히 제작한 악성 패킷을 서버로 보내는 방법을 이용하여 HTTPS 연결을 복호화 하거나, 다른 서버에 인증서가 공유 되어 있을 경우 MITM공격을 실행할 수 있게 됩니다. 


취약한 버전


Apache

2.4.x 버전 이외의 모든 버전


Nginx

0.7.64, 0.8.18 및 그 이전 버전


Postfix

2.9.14, 2.10.8, 2.11.6, 3.0.2 이전 버전


OpenSSL

1.0.2a, 1.0.1m, 1.0.0r, 0.9.8zf 및 그 이전버전



취약점 점검 


취약점 점검 페이지에서 취약점 점검을 할 수 있습니다. 


취약점 점검 하러가기



패치


OpenSSL 업그레이드


CentOS, Redhat 

#yum clean

#yum update openssl


Ubuntu
#apt-get upgrade openssl

IIS / NSS 

SSLv2 사용안함으로 설정


Apache

SSLv2 사용 안함으로 설정

아파치 설정파일 변경(httpd.conf)

# vi httpd.conf

......

SSLProtocol -all +TLSv1.1 +TLSv1.2

SSLCipherSuite HIGH:!aNULL:!MD5:!SSLv2:!SSLv3:!TLSv1

......

# service httpd restart


Ngix

SSLv2 사용안함으로 설정

ssl_protocols TLSv1.1 TLSv1.2;

nigx 재시작


Postfix

SSLv2 사용안함으로 설정

smtpd_tls_protocols = !SSLv2, !SSLv3


smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3


tlsproxy_tls_protocols = $smtpd_tls_protocols


tlsproxy_tls_mandatory_protocols = $smtpd_tls_mandatory_protocols


smtp_tls_protocols = !SSLv2, !SSLv3


smtp_tls_mandatory_protocols = !SSLv2, !SSLv3


lmtp_tls_protocols = !SSLv2, !SSLv3


lmtp_tls_mandatory_protocols = !SSLv2, !SSLv3


smtpd_tls_ciphers = medium


smtp_tls_ciphers = medium


smtpd_tls_dh1024_param_file=${config_directory}/dh2048.pem


smtpd_tls_eecdh_grade = strong


smtpd_tls_exclude_ciphers =


EXPORT, LOW, MD5, SEED, IDEA, RC2


smtp_tls_exclude_ciphers =


EXPORT, LOW, MD5, aDSS, kECDHe, kECDHr, kDHd, kDHr, SEED, IDEA, RC2



참고 : 

https://drownattack.com/

https://www.openssl.org/news/secadv/20160301.txt

관련글 더보기

댓글 영역