SSL的替代品

Question

因此,在过去几年中,似乎SSL已经从安全社区中受到了相当大的打击.虽然技术原因超出了我的理解范围,但我理解这些概念并理解SSL随着新的弱点而变得越来越不安全.

我向你们提出的问题是:如果SSL"被打破",是否有可以取代它的技术？有更安全的替代方案吗？

任何想法都表示赞赏!:)

(ps,我不是特别谈论HTTPS - 我的意思是任何SSL技术)

Answer 1

SSL 没有被破坏.该协议设计为健壮的,可以在特定的密码套件中找到问题,并且补丁就像使用新的一行配置更改一样简单.有像SSLStrip这样的攻击以及防止它的方法,比如HTTP STS.

最大的问题是人们不经常使用HTTPS.这导致像OWASP a9这样的问题,可以被像firesheep这样的工具利用.

Answer 2

我不同意之前关于SSL没有被破坏的回应 - 最近的一个主要问题是CA(证书颁发机构)受到了损害.SSL旨在使用受信任的第三方 - 永远.如果任何受信任的人受到损害,他们就拥有城堡的钥匙.

我们已经看到一些像CA这样的名字,比如Comodo和DigiNotar受到了损害.NIST发布了一份关于如何应对CA妥协的ITL公告,这已经成为一个大问题.所以我认为虽然SSL/TLS的某些实现在技术上仍然合理,但"破损"部分是与"信任"源有关的设计问题.