對於安全加密通信，傳輸層安全協議(SSL/TLS)的重要性不言而喻。如今的TLS協議不僅被用於傳輸層通訊，更作爲一個標準的加密保護協議被廣泛應用於 FTP, 電子郵件和VPN等領域，時刻保護着我們網絡通信的安全。
上週一個新的加密攻擊被披露，它可以攻破加密的TLS流量，允許攻擊者攔截並竊取以前認爲安全可靠的數據。這兩個被披露的新的TLS協議漏洞被命名爲“Zombie POODLE”和“ GOLDENDOODLE(CVE)” 使用Zombie POODLE，能夠在Citrix負載均衡器中恢復POODLE攻擊，與此同時，GOLDENDOODLE是一種類似的攻擊，但具有更強大，更快速的加密黑客攻擊性能。
在Alexa排名前100萬的網站中，約有2000個網站易受Zombie POODLE的攻擊，約1000個網站易受GOLDENDOODLE的攻擊，還有數百個網站仍易受五年前就被曝出的舊漏洞POODLE的攻擊。
此攻擊所需條件：
① HTTPS服務端使用了CBC密碼套件
② 在被攻擊客戶端和被攻擊服務器之間創建中間人通道MITM，如建立惡意WiFi熱點，或者劫持路由器等中間網絡設備
③ 攻擊者通過植入用戶訪問的非加密網站上的代碼，將惡意JavaScript注入受害者的瀏覽器。
④ 惡意腳本構造特定的HTTPS請求加密網站，結合中間人旁路監聽加密數據，多次請求後即可獲得加密數據中的Cookie和憑證。
亞洲誠信作爲互聯網安全SSL/TLS領域的資深技術團隊，率先推出應對策略：
1、確保全站HTTPS完整性，杜絕引入不安全的外鏈（HTTP腳本資源，尤其是JavaScript腳本），可以通過亞洲誠信提供的MySSL企業版進行不安全外鏈監控。
2、檢查服務器，避免使用RC4和CBC等不安全密碼套件，通過MySSL.com上檢測，支持的加密套件中避免出現弱密碼和包含CBC的密碼套件。
3、涉及敏感信息或者重要商業數據的系統加強異常狀況監測和巡查，並保持符合HTTPS最佳安全實踐。可前往https://MySSL.com獲取HTTPS最佳實踐白皮書。
另外: 爲幫助易受攻擊的網站更好的防範和應對此次威脅，亞洲誠信對業界提供了7*24小時在線諮詢服務，您可以通過訪問亞洲誠信官網或關注微信公衆號[亞洲誠信TrustAsia]獲取技術支持。
● 技術支持熱線：18916822880 ● 技術支持郵箱：[email protected]
