漏洞修复TLS protocol中间人攻击漏洞(CVE-2015-4000)

Posted 2021-12-04 不太灵光的程序员

文章目录

• 问题描述
• 解决方案
• Centos7下rpm升级OpenSSH到openssh-8.8p1版本
• • CentOS7下载地址:
  • 下载rpm包：
  • 安装方法一：
  • 安装方法二（此方法会自动处理依懒关系）：
  • 因为OPENSSH升级后，/etc/ssh/sshd_config会还原至默认状态，我们需要进行相应配置：

---

问题描述

TLS（Transport Layer Security，安全传输层协议）是一套用于在两个通信应用程序之间提供保密性和数据完整性的协议。

TLS协议1.2及之前版本中存在安全漏洞。当服务器启用DHE_EXPORT密码套件时，程序未能正确传递DHE_EXPORT选项。攻击者可通过重写ClientHello（使用DHE_EXPORT取代DHE），然后重写ServerHello（使用DHE取代DHE_EXPORT），利用该漏洞实施中间人攻击和cipher-downgrade攻击。

解决方案

如果您有 Web 或邮件服务器，则应禁用对导出密码套件的支持并使用 2048 位 Diffie-Hellman 组。我们已经发布了一份指南，为 TLS 部署 Diffie-Hellman，其中包含分步说明。如果您使用 SSH，您应该将您的服务器和客户端安装升级到最新版本的 OpenSSH。

• 详细描述见：https://weakdh.org

Centos7下rpm升级OpenSSH到openssh-8.8p1版本

CentOS7下载地址:

https://cikeblog.com/s/openssh8.8-c7.tar.gz

下载rpm包：

wget https://cikeblog.com/s/openssh-8.5p1-1.el7.tar.gz
tar -zxvf openssh-8.5p1-1.el7.tar.gz

安装方法一：

rpm -Uvh *.rpm

安装方法二（此方法会自动处理依懒关系）：

yum install ./*.rpm
部分机器使用方法二安装会提示依赖问题，可以使用以下方法：

yum update *.rpm
至此，升级完成，如果之前升级过的，下面的就不用看了，直接新开SSH终端连接即可。

因为OPENSSH升级后，/etc/ssh/sshd_config会还原至默认状态，我们需要进行相应配置：

cd /etc/ssh/
chmod 400 ssh_host_ecdsa_key ssh_host_ed25519_key ssh_host_rsa_key
echo “PermitRootLogin yes” >> /etc/ssh/sshd_config
echo “PasswordAuthentication yes” >> /etc/ssh/sshd_config
systemctl restart sshd