一种防范TLS协议降级攻击的浏览器安全模型

作者：张兴隆; 李钰汀; 程庆丰^*; 郭路路

来源：信息网络安全, 2020, 20(03): 65-74.

• TLS
• 降级攻击
• Web浏览器
• 细粒度TLS安全配置

在TLS握手期间,攻击者可以利用一个或两个通信方对旧版本或弱密码套件的支持发起一系列的攻击,这种攻击被称为降级攻击。近年来与TLS相关的降级攻击被广泛研究,可以发现这些攻击并非完全相同,现有文献缺乏一种有效的分类法对它们进行分类和比较,从而在全局视角下研究降级攻击。基于此,文章提出了一种降级攻击的分类方法,并按照该方法对15种已经公开发布的针对TLS协议的降级攻击方法进行了分类。进一步,文章提出了一种轻量级机制,用于Web浏览器中的细粒度TLS安全配置。该机制允许浏览器为进入敏感域的连接强制实施最佳TLS安全配置,同时保持其余连接实施默认配置,从而检测并防止降级攻击和服务器错误配置。

• 单位
  信息工程大学