Radware：SSL攻击 ——黑客利用安全手段加密攻击

二战中，由于盟军能够破解日本和德国用来发送敏感信息的加密协议而占尽优势。当时盟军能够拦截并解码信息，获取与敏感军事行动有关的情报。

在当今互联网时代，恶意黑客正在利用企业所部署用来保护通信安全的加密标准，将恶意流量封装在本该保护企业应用的协议内发起攻击。

保密是双向的

企业采用了安全套接字层(SSL)和传输层安全(TLS)来加密网络通信。并利用加密协议来确保隐私和数据的完整性。遗憾的是，加密协议会同时保护，不论是合法还是非法的所有数据的安全。

黑客会将SSL/TLS协议用作混淆攻击负载的工具。安全设备可以在明文中识别跨站脚本或SQL注入攻击，但如果利用SSL/TLS对相同攻击进行加密，除非事先解密并进行检查，否则将无法成功检测到攻击。

黑客也能够在SSL/TLS协议本身中找到漏洞。作为互联网协议，SSL/TLS很容易受到bug和漏洞利用的攻击。黑客就会利用重新协商的缺陷，如POODLE漏洞和Heartbleed。

保卫企业自有安全工具

企业正陷入左右为难的境地，为了保护应用的安全，企业不得不采用SSL/TLS技术，但同时，由于黑客也会利用SSL/TLS协议来攻击企业业务，因此企业也需要一些工具来防范这些协议。

外围安全防御措施需要处理SSL/TLS流量，确定连接是否合法或者连接是否是DDoS或应用攻击的一部分。理想情况下，系统能够在不影响网络和应用可用性的同时，在一定的性能层面上管理SSL/TLS流量。

由于管理加密SSL/TLS连接有大量的资源需求，因此安全解决方案必须整合可以处理并对连接进行分类的方法。必要时，解决方案可以将SSL/TLS连接卸载到高性能加密系统中，该系统可以执行适当的质询/响应方法来验证SSL/TLS连接。

此外，加密系统在必要时也可以检查并验证内容。SSL检查解决方案必须是带外的，这样才可以确保在SSL连接数量增加时它不会成为瓶颈。

可实现入站保护的DefenseSSL

入站SSL检查和缓解解决方案是外围DDoS缓解和应用安全解决方案的重要组成部分。现在，互联网上50%以上的流量都是经过加密的，而且这个数字还在增加。

任何可以提供DDoS缓解和应用安全服务的外围网络安全解决方案，都需要集成一个强健且可扩展的SSL检查解决方案。可扩展性和灵活性对外围防御解决方案而言也相当重要。企业有义务保护自己的网络和应用不受威胁侵扰，即使这些隐患有机会是他们自己埋下的。

原文发布时间为：2017年9月13日

本文来自云栖社区合作伙伴至顶网，了解相关信息可以关注至顶网。