你的SSL服務(wù)器上是否存在錯誤配置或已知漏洞這樣的安全隱患呢？根據(jù)以下10個技巧，可以幫你避免這些常見的SSL安全威脅。
1.禁用SSLv2。早在15年前，這個版本的SSL協(xié)議早就被確認(rèn)存在安全問題了，但還是有很多Web服務(wù)器仍然支持這個協(xié)議。
禁用它只需幾分鐘的時間。例如，在Apache v2中，你只需要改變默認(rèn)設(shè)置：
-
SSLProtocol all -
to -
SSLProtocol all -SSLv2
2.禁止支持弱加密。幾乎所有Web服務(wù)器都支持128位強(qiáng)度或者256位高強(qiáng)度的加密算法，但也有少部分的Web服務(wù)器支持弱加密。弱加密會被黑客利用，威脅企業(yè)信息安全。所以，沒有理由去支持弱加密服務(wù)。同樣，在幾分鐘之內(nèi)就可以禁用掉這個服務(wù)，例如：
-
SSLCipherSuite RSA:!EXP:!NULL:+HIGH:+MEDIUM:-LOW
3.確保你的服務(wù)器沒有支持不靠譜的重新握手和協(xié)商過程。SSL和TLS身份認(rèn)證的漏洞容易遭到中間人攻擊的利用，進(jìn)而導(dǎo)致任何內(nèi)容都可以重定義并注入到加密的數(shù)據(jù)流當(dāng)中。大部分廠商都發(fā)布了此漏洞的補(bǔ)丁，若你還沒有打這個補(bǔ)丁，最好還是先禁用這個重定義服務(wù)吧。
4.確保通過SSL認(rèn)證的所有階段。關(guān)鍵是要保護(hù)你的用戶證書，也就是說用戶通過SSL連接提交給你登錄表單，同時，你要保護(hù)他們的證書安全。否則，黑客會通過他們自己的服務(wù)器來攔截你的信息并轉(zhuǎn)發(fā)一個惡意信息給用戶，以便竊取到用戶們的授權(quán)證書。
5.在你的網(wǎng)頁上不要把SSl保護(hù)的內(nèi)容和明文內(nèi)容混在一塊。混合使用加密認(rèn)證會導(dǎo)致你的網(wǎng)站受到攻擊，因為像Javascipt這種單個未受保護(hù)的資源容易被注入惡意代碼或者是受到中間人攻擊。
6.使用HSTS加密保護(hù)你的域（包括子域）。用HSTS協(xié)議來保護(hù)你的網(wǎng)站，在你首次訪問網(wǎng)站中的任何連接時，可以將HTTP自動轉(zhuǎn)換成HTTPS。與此同時，若用戶持非法私有證書，是不能再次瀏覽該網(wǎng)站的。這就意味著，黑客將不能你的用戶轉(zhuǎn)移到那些他們所操控的具有不安全SSL連接以及危險cookies信息的釣魚網(wǎng)站了。
STS協(xié)議頭必須保證只通過HTTPS發(fā)送，并且配置應(yīng)該盡可能地清晰簡單。其配置只需要簡單的兩行命令。例如在Apache中，你可以輸入下面的命令：
-
Header set Strict-Transport-Security "max-age=XXXXXX" -
Header append Strict-Transport-Security includeSubDomains
7.使用HttpOnly和安全標(biāo)識來保護(hù)cookies。用來鑒定SSL會話持續(xù)時間的cookies常常會削弱SSL會話的安全性。HttpOnly標(biāo)識可以隱藏你的客戶端腳本，所以他們不能通過跨站點腳本攻擊來竊取信息。也就是說，安全標(biāo)識cookies只能通過加密的SSL來傳輸，因此不能被截獲。
用HttpOnly來配置你的Web服務(wù)器，從而保護(hù)cookies。通過這樣簡單增加安全屬性的方法，可以防御上述兩種類型的攻擊；用HttpOnly來設(shè)置Cookie Http響應(yīng)前端：
-
Set-Cookie: =; = -
; expires=; domain=
-
; secure; HttpOnly
8.使用擴(kuò)展驗證（Extended Validation（EV））證書。雖然這個證書對于你的網(wǎng)站安全來說并不是非常必要，但是EV證書可以在地址搜索欄上展示出明確的視覺確認(rèn)效果，通過安全的SSL連接，用戶可以一下子就確認(rèn)是你的網(wǎng)站，而非釣魚網(wǎng)站。
9.確保你的證書被包含在子域當(dāng)中。為了避免網(wǎng)站用戶得到錯誤的證書，你要確保https://www.yourdomain.com和https://yourdomain.com 都覆蓋了你的SSL證書。
你可以使用多域名SSL證書，它可以允許你最多選擇三個主名（SNAs）例如yourdomain.com 或 www.yourdomain.com
10.進(jìn)行SSL服務(wù)器測試。使用Qualys公司的SSL實驗室可以進(jìn)行免費測試，你可以檢查SSL服務(wù)器配置，認(rèn)證鏈，以及協(xié)議和密碼組在內(nèi)的整體SSL安全狀態(tài)。
原文鏈接：http://netsecurity.51cto.com/art/201108/279867.htm
