贵宾狗漏洞
HTTPS攻击
全站https正成为潮流
HTTPS的作用
信息安全三要素 CIA
C 机密性
I 完整性
A 可用性
解决的是信息在传输过程中数据被篡改窃取
加密：对称 非对称 单向
攻击方法
降级攻击 强制降低算法加密强度
降密攻击（明文、证书伪造）
协议漏洞来源
配置不严格
实现方法的漏洞 新浪出血漏洞 openssl实现https存在漏洞
ssl tsl两个协议来实现https
SSL（Secure socket layer 安全套接层）
保证网络通信安全的加密协议
1994年由Netscape开发成文统一标准
1999年TLS（transport layer security）取代SSL v3
xp系统对TSL支持有限
今年来发现的SSL协议漏洞使业界认为其漏洞已经不可软件修复
Heartbleed
POODLE
BEAST
TLS当前最新版本1.2
TLS/SSL、HTTPS、HTTP over SSL 通俗上表示同一含义
SSL/TLS也被用于其他场景
邮件传输
数据库服务器间
LDAP身份认证服务期间
SSL VPN
远程桌面RDP通信过程中的加密和身份认证
web通信中的SSL加密 （PKI架构）
公钥证书（受信任的第三方证书颁发机构签名颁发）
常见公司
VeriSign
Thawte
GlobalSign
Symantec
加密过程
握手
协商加密算法（）
获取公钥证书
验证公钥证书
交换会话密钥
加密信息
传输
非对称加密算法
Diffie-Hellman key exchange 主要用来密钥交换
Rivest Shamir Adleman (RSA)
Elliptic Curve Cryptography (ECC)
对称加密算法
Data Encryption Standard (DES) / 3DES
Advance Encryption Standard (AES)
International Data Encryption Algo rithm (IDEA)
Rivest Cipher 4 (RC4)（WEP̵、TLS/SSL̵、RDP̵、Secure shell）
单向加密算法（HASH）
MD5 128位
SHA-1 160位
SHA-2 224、256、384、512位（长度可变）
SHA-3已经设计完成，但尚未广泛使用
SHA-2是TLS 1.2唯一支持的单向加密算法
碰撞攻击针对单向加密算法
两个不同的文件生成相同的HASH值
SSL的弱点
SSL是不同的对称、非对称、单向加密算法的组合加密实现（cipher suite）
RAS/Diffie-Hellman 密钥交换、身份认证
AES 加密数据，由RAS/DH完成密钥交换
HMAC-SHA2 摘要信息
服务器端为了提供更好的兼容性，选择支持大量过时的cipher suite
协商过程中的强迫降级加密强度
现代处理器的计算能力可以再可接受的时间内破解过时加密算法
购买云计算资源破解
Openssl命令
参数很多，但是命令复杂，结果可读性查需要密码学知识。
直接调用openssl库识别目标服务器支持的SSL/TLS cipher suite
openssl s_client connect www.baidu.com:443
openssl s_client -tls1_2 -cipher 'ECDH-RSA-RC4-SHA' -connect www.taobao.com:443
（密钥交换 身份认证 数据加密 HASH算法）
openssl s_client -tls1_2 -cipher “NULL,EXPORT,LOW,DES” -connect
www.taobao.com:443 (协商安全级别低的cipher suite)
可以被破解的cipher suite openssl ciphers -v "NULL,EXPORT,LOW,DES"
SSLScan工具
自动识别SSL配置错误、过期协议、过时的cipher suite和hash算法
默认检查CRIME、heartbleed漏洞
绿色表示安全 红色黄色需要引起注意
TLS支持的cipher suite
sslscan --tlsall www.taobao.com:443
分析证书的详细内容
sslscan --show-certificate --no-ciphersuites www.taobao.com:443
SSLyze工具
python语言编写
检查SSL过时版本
检测存在弱点的cipher suite
扫描多站点，支持来自文件
扫描是否支持会话恢复
sslyze --regular www.taobao.com:443
nmap也可以
nmap --script=ssl-enum-ciphers.nse www.taobao.com
在线SSL检查的工具
https://www.ssllabs.com/ssltest
HSTS 严格的
