184 bình luận
Chia sẻ
Bài nổi bật
Share cho các bác, anh chị em việc cấu hình cho SSL LAB lên A với apache, nginx:
1.
Chỉ hỗ trợ TLS 1.0, TLS 1.1 và TLS 1.2, vô hiệu hóa SSL 2.0 và SSL 3.0
Bạn cần phải nâng cấp phiên bản OpenSSL lên phiên bản mới nhất không bị vướng lỗ hổng bảo mật và hỗ trợ TLS 1.2 và TLS 1.2. Ví dụ: các phiên bản 0.9.x và 1.0.0 trở về trước không hỗ trợ TLS 1.2.
Sau khi nâng cấp OpenSSL, bạn cần phải build lại hoặc nâng cấp Apache lên phiên bản mới nhất. Kể từ phiên bản 2.2.x trở lên, Apache đã hỗ trợ TLS 1.2.
Để vô hiệu hóa SSL 2.0, SSL 3.0 và chỉ hỗ trợ TLS 1.0, TLS 1.1 và TLS 1.2, bạn cần chỉnh lại tham số sau:
SSLProtocol All -SSLv2 -SSLv3
2.
Poodle and TLS-FALLBACK-SCSV
SSL 3.0 là nguyên nhân quan trọng nhất gây ra lỗ hổng Poodle. Bằng cách vô hiệu hóa SSL 3.0, bạn đã khắc phục lỗ hổng Poodle cho máy chủ.
Để vô hiệu hóa lỗ hổng “protocol downgrade attack”, extension TLS FALLBACK SCSV phải được kích hoạt trong OpenSSL. Các phiên bản sau đây đã bao gồm extension này:
Nâng cấp lên phiên bản mới nhất của openssl
3.
Heartbleed
Lỗ hổng Heartbleed là một lỗ hổng khá nghiêm trọng, có thể ảnh hưởng đến mọi máy chủ sử dụng thư viện OpenSSL. Để khắc phục lỗi này, cách duy nhất là bạn phải kiểm tra phiên bản OpenSSL đang sử dụng và nâng cấp nếu nằm trong danh sách sau đây:
Nâng cấp lên phiên bản mới nhất của openssl
4.
Cipher suites
Luôn luôn áp dụng các cipher suites an toàn nhất và yêu cầu server lựa chọn ưu tiên theo thứ tự mà bạn đã thiết lập. (Cập nhật theo thời gian)
5.
Strong DH (Diffie-Hellman)
Bạn cần nâng cấp Apache lên 2.4.8 và OpenSSL 1.0.2 để hỗ trợ tính năng này.
Chạy lệnh:
openssl dhparam –out /usr/local/ssl/dhparams.pem 2048
Bổ sung dòng sau đây vào file cấu hình:
SSLOpenSSLConfCmd DHParameters “/usr/local/ssl/dhparams.pem”
1.
Chỉ hỗ trợ TLS 1.0, TLS 1.1 và TLS 1.2, vô hiệu hóa SSL 2.0 và SSL 3.0
Bạn cần phải nâng cấp phiên bản OpenSSL lên phiên bản mới nhất không bị vướng lỗ hổng bảo mật và hỗ trợ TLS 1.2 và TLS 1.2. Ví dụ: các phiên bản 0.9.x và 1.0.0 trở về trước không hỗ trợ TLS 1.2.
Sau khi nâng cấp OpenSSL, bạn cần phải build lại hoặc nâng cấp Apache lên phiên bản mới nhất. Kể từ phiên bản 2.2.x trở lên, Apache đã hỗ trợ TLS 1.2.
Để vô hiệu hóa SSL 2.0, SSL 3.0 và chỉ hỗ trợ TLS 1.0, TLS 1.1 và TLS 1.2, bạn cần chỉnh lại tham số sau:
SSLProtocol All -SSLv2 -SSLv3
2.
Poodle and TLS-FALLBACK-SCSV
SSL 3.0 là nguyên nhân quan trọng nhất gây ra lỗ hổng Poodle. Bằng cách vô hiệu hóa SSL 3.0, bạn đã khắc phục lỗ hổng Poodle cho máy chủ.
Để vô hiệu hóa lỗ hổng “protocol downgrade attack”, extension TLS FALLBACK SCSV phải được kích hoạt trong OpenSSL. Các phiên bản sau đây đã bao gồm extension này:
Nâng cấp lên phiên bản mới nhất của openssl
3.
Heartbleed
Lỗ hổng Heartbleed là một lỗ hổng khá nghiêm trọng, có thể ảnh hưởng đến mọi máy chủ sử dụng thư viện OpenSSL. Để khắc phục lỗi này, cách duy nhất là bạn phải kiểm tra phiên bản OpenSSL đang sử dụng và nâng cấp nếu nằm trong danh sách sau đây:
Nâng cấp lên phiên bản mới nhất của openssl
4.
Cipher suites
Luôn luôn áp dụng các cipher suites an toàn nhất và yêu cầu server lựa chọn ưu tiên theo thứ tự mà bạn đã thiết lập. (Cập nhật theo thời gian)
5.
Strong DH (Diffie-Hellman)
Bạn cần nâng cấp Apache lên 2.4.8 và OpenSSL 1.0.2 để hỗ trợ tính năng này.
Chạy lệnh:
openssl dhparam –out /usr/local/ssl/dhparams.pem 2048
Bổ sung dòng sau đây vào file cấu hình:
SSLOpenSSLConfCmd DHParameters “/usr/local/ssl/dhparams.pem”
Mình thấy link này từ DNH.
Nhiều bạn lầm tưởng TLS khó bị tấn công MITM. Rất nhiều vụ cert injection rồi nhé (kể cả không bị lộ key CA). Có thể kể tới vài vụ như Lenovo cài Superfish SSL vào thành SSL chứng thực của Laptop, hay thằng Symantec bán SSL cert cho mấy công ty hardware mạng của Trung Quốc, hoặc vụ ngân hàng tại Bangladesk mất số tiền rất lớn do dùng đồ mạng rẻ tiền.
Cá nhân thì mình nghĩ không nên đưa kết luận chủ quan do mới test bảo mật ở mức cơ bản. Tuy nhiên, bài viết không phải là không có ý nghĩa về bảo mật. Và, cái yếu nhất trong hệ thống bảo mật chính là ý thức của bản thân người dùng. Nếu được, bài viết nên thêm 1 chút về một vài kỹ thuật gỉa định danh và cách phòng chống.
Nhiều bạn lầm tưởng TLS khó bị tấn công MITM. Rất nhiều vụ cert injection rồi nhé (kể cả không bị lộ key CA). Có thể kể tới vài vụ như Lenovo cài Superfish SSL vào thành SSL chứng thực của Laptop, hay thằng Symantec bán SSL cert cho mấy công ty hardware mạng của Trung Quốc, hoặc vụ ngân hàng tại Bangladesk mất số tiền rất lớn do dùng đồ mạng rẻ tiền.
Cá nhân thì mình nghĩ không nên đưa kết luận chủ quan do mới test bảo mật ở mức cơ bản. Tuy nhiên, bài viết không phải là không có ý nghĩa về bảo mật. Và, cái yếu nhất trong hệ thống bảo mật chính là ý thức của bản thân người dùng. Nếu được, bài viết nên thêm 1 chút về một vài kỹ thuật gỉa định danh và cách phòng chống.
Bài viết có một ưu điểm là đưa ra một cái nhìn (dù chỉ thoáng qua) về bảo mật trong chuyển tiền online (web/app) cho các anh em Non-IT tham khảo. Tuy nhiên theo mình không nên đưa Kết Luận vào, vì kết luận nó sẽ mang tính định hướng người sử dụng, trong khi đó bài viết thì lại hơi sơ sài để đánh giá chính xác.
Hiện tại ngoài Web/App riêng của các ngân hàng, thì Viettel cũng có ứng dụng Bankplus khá ổn (trả tiền điện thoại, điện, nước, chuyển tiền online, chuyển tiền mặt...).
Ngoài ra các bạn cũng yên tâm là App chuyển tiền online được đánh giá là giải pháp an toàn nhất rồi, tiền của mình không đến nỗi dễ bị thịt vậy đâu. 😃
Tham khảo thêm : http://lifehacker.com/which-online-money-transfer-service-is-the-most-secure-1688912343/1688958375
Hiện tại ngoài Web/App riêng của các ngân hàng, thì Viettel cũng có ứng dụng Bankplus khá ổn (trả tiền điện thoại, điện, nước, chuyển tiền online, chuyển tiền mặt...).
Ngoài ra các bạn cũng yên tâm là App chuyển tiền online được đánh giá là giải pháp an toàn nhất rồi, tiền của mình không đến nỗi dễ bị thịt vậy đâu. 😃
Tham khảo thêm : http://lifehacker.com/which-online-money-transfer-service-is-the-most-secure-1688912343/1688958375
Bác này chỉ check mỗi phần SSL/TLS/Cert mà đặt cái tiêu đề nghe to tát và kết luận dễ gây hoang mang quá. Làm ơn sửa lại tiêu đề và đính chính lại nội dung cho dân tình không chuyên bảo mật đỡ hiểu lầm đi ạ. SSL/TLS/Cert này chỉ là hạng mục liên quan đến máy chủ web, bác đã kiểm tra bên trong website hay ứng dụng có lỗ hổng gì chưa mà kêu là "thử nghiệm bảo mật của web và ứng dụng" 😔
Vụ mất 500tr vừa rồi thằng Ngân hàng đưa ra cái lý do vớ vẩn vậy mà không chú IT khủng nào đứng ra bênh người ta,mặc cho chúng nó khua môi múa mép. Ở nước ngoài cái loại giao dịch bất minh kiểu đó bị chặn ngay,trong khi ở VN phải đến lúc người ta báo ngaan hàng mới kiểm tra,tn báo giao dịchhangf tuần sau mới đến thì mất cha nó tiền từ đời nào rồi. Nói chung thiệt thôi người dân luôn phải chịu,ngân hàng kiếm mọi cớ phủi tay.
Bài mới
- Chịu trách nhiệm nội dung: Trần Mạnh Hiệp
- © 2024 Công ty Cổ phần MXH Tinh Tế
- Địa chỉ: Số 70 Bà Huyện Thanh Quan, P. Võ Thị Sáu, Quận 3, TPHCM
- Số điện thoại: 02822460095
- MST: 0313255119
- Giấy phép thiết lập MXH số 11/GP-BTTTT, Ký ngày: 08/01/2019