2014年10月17日 星期五

apache2 如何停用SSLv3支援選項改以TLSv1.2作為加密協定(資安事件編號:ICST-ANA-2014-0025)



國家資通安全會報 技術服務中心
漏洞/資安訊息警訊
發布編號
ICST-ANA-2014-0025
發布時間
Thu Oct 16 18:33:33 CST 2014
事件類型
漏洞預警
發現時間
Thu Oct 16 00:00:00 CST 2014
警訊名稱
SSLv3加密協定存在中間人攻擊弱點,弱點編號CVE-2014-3566 (POODLE)
內容說明
近期美國國家標準技術研究所(NIST)的國家弱點資料庫(NVD)發布弱點編號CVE-2014-3566 (POODLE) [1-5],透過該弱點駭客可在客戶端與伺服器兩端均使用SSLv3加密協定建立連線時進行中間人攻擊,藉由攔截與修改HTTPS封包資訊的方式,嘗試向伺服器主機建立連線,進而獲取使用者的相關傳輸數據與機敏資訊(cookies, and/or authorization header contents)。為確保平台安全性,請各機關確認所屬瀏覽器設定與系統平台(工作站主機及伺服器)所使用的SSL/TLS版本資訊,建議停用SSLv3支援選項改以TLSv1.2作為加密協定。如系統平台不支援TLS加密連線機制,請儘速更新修補SSL相關套件。
影響平台
使用SSLv3加密連線機制的系統平台(工作站主機及伺服器)
影響等級
建議措施
【系統平台(工作站主機及伺服器)】
1.停用SSL加密機制改以TLS確保加密連線機制的強健性
停用SSL相關加密機制(SSLv3與SSLv2),並建議以TLS(v1.2)進行加密連線作業。
如系統平台使用Apache作為網頁伺服器,可調整SSL設定為 "SSLProtocol +TLSv1 +TLSv1.1 +TLSv1.2" 以停用對SSLv3的支援,並啟用TLS加密連線機制。

2.對於僅支援SSL的系統平台,請儘速至各系統官方網站更新修補SSL相關套件。目前OpenSSL官方已針對SSLv3 (POODLE)弱點發布最新的更新版本,OpenSSL 1.0.1版本使用者請更新至1.0.1j版本[8]。

3.參考以下方式確認系統SSL/TLS版本資訊:
[工具1] 使用TestSSLServer工具[6] 檢視系統平台上所支援的SSL/TLS加密協定與版本
使用指令 "TestSSLServer.exe [IP位置]" 指定系統平台位置資訊,以檢視系統平台(工作站主機及伺服器)所使用的SSL/TLS版本資訊。附件圖1為使用TestSSLServer工具檢視SSL/TLS版本範例,如發現SSLv3(圖1中紅色標示處),即代表系統平台支援SSLv3的加密機制。
[工具2] 使用線上分析工具[7],檢視系統平台上所支援的SSL/TLS版本資訊。線上工具分析完成後會產出對應的報告資訊,並詳列支援的加密機制,詳見附件圖2,由於有偵測到SSLv3,因此標示為不安全。
【使用者端(瀏覽器)】
建議參考以下方式確認使用者端瀏覽器所支援的SSL/TLS版本資訊
[IE] 瀏覽器工具列-> 網際網路選項->進階->安全性(詳見附件圖3)
取消勾選瀏覽器SSL相關加密連線的支援選項[9],確認開啟TLS加密連線相關設定,調整設定後可透過線上檢查工具[9-10]檢測瀏覽器相關設定是否存在SSLv3 (POODLE) 弱點的風險。
停用SSLv3支援選項改以TLSv1.2
請注意:你的平台需確認有啟動HTTPS,才需進行以下的動作,若您的平台沒有啟用HTTPS,並且於開port申請書中,也不對外開放HTTPS的服務,無需進行以下的動作

這也順便解決此資安弱掃的問題
擷取選取區域_002.png

詳細流程如下,請參考
https://docs.google.com/document/d/1eGdTgrkCt8KWcOR0YIBFuDljdmCN-94x2lq9cVBGSUE/edit?usp=sharing

2014年9月29日 星期一

修補bash漏洞


修補
sudo apt-get update
sudo apt-get install bash

此漏洞被稱為Shell Shock
這個漏洞讓攻擊者可以遠端下達並執行任意的命令,例如在網頁請求(web request)裡設定headers,或者是設定奇怪的MIME類型
若系統中有安裝以cgi程式呼叫bash程式的,將有可能受到攻擊
例如執行CGI scripts的web伺服器,信箱或網頁的用戶端傳送檔案到外部程式來呈現影音或聲音檔,有可能就在攻擊範圍內
目前包括CentOS、Debian、紅帽與Ubuntu皆已釋出更新版



更詳細的說明,請參考我的測試說明
https://docs.google.com/document/d/1XiZy2raC_9r0sZksAiZ6Q2GO85bL6ULsjub7Geahqp4/edit?usp=sharing

2014年9月14日 星期日

關於DNS的遞迴查詢攻擊與防護

最近有許多學校的DNS遭到了攻擊,大都是因為沒有限制遞迴查詢,導致外面的IP也可以使用學校的DNS進行遞迴查詢,產生大量的查詢封包,攻擊者只要利用沒有限制遞迴查詢的學校DNS,去查詢一個網域,就足以產生大量的名稱解析
相關狀況與處理流程,可以參考我的處理經驗

https://docs.google.com/document/d/1vACK8AihEUOnJ_wGSVHq0saFrIksJyfzjC9FQhLD86Y/edit?usp=sharing

2014年8月18日 星期一

2014網管基礎班研習


此次研習,最大的變格式採用web管理界面設定基礎網路與架站,讓架設可以更簡單直覺:
文件請參考:
https://docs.google.com/document/d/1mUZjQ7p0KBYDBYnBQYCl3A21CtbV986qtUIzwTDhGh4/edit?usp=sharing

2014年8月11日 星期一

電腦教室管裡系統


電腦教室管裡系統

下載位置:ftp://ftp3.tn.edu.tw/computerRoom/

建議流程:
製作範本機 -- DRBL-live大量佈署 --中控機管理 :所有本機同時自我備份與還原


因為整個流程牽涉多方工具的應用,目前文件較為雜亂,會持續修改

製作與設定
https://docs.google.com/document/d/1BWaAmdv4Bf_9O5V5l8xnNwix8pcQh6fVC5pLMxGvub8/edit?usp=sharing


操作與管理
https://docs.google.com/document/d/1LXC17V9ZYKONqoZ0aPh6-89aWtfRbK8AefMIcUhTRSg/edit?usp=sharing