TLS 攻击：BEAST、POODLE 与降级攻击

TLS 攻击可分为三类：协议层攻击（BEAST、POODLE、DROWN）、密码学攻击（RC4 偏差、Lucky13）和实现层攻击（Heartbleed、BERserk）。TLS 1.3 通过移除易受攻击的算法，消除了协议层攻击。

针对 SSL/TLS 的浏览器漏洞利用：攻击 TLS 1.0 中的 CBC 模式。在该模式下，每条记录的 IV 都是上一条记录的最后一个密文块，因此 IV 是可预测的。攻击者注入选定的明文块，通过选择边界攻击恢复会话 cookie。

修复方法：使用 TLS 1.1 及更高版本（每条记录使用随机 IV），或者使用 RC4 替代 CBC（但这是糟糕的权衡）。现代修复方法是使用只支持 AEAD 的 TLS 1.3，不再使用 CBC。在 TLS 1.1 尚未广泛部署之前，浏览器通过 1/n-1 记录拆分来缓解 BEAST。

降级旧式加密中的填充预言机攻击：攻击 SSL 3.0 的 CBC 模式。SSL 3.0 的填充不受完整性保护，因此可以构造填充预言机。攻击者通过连接失败迫使连接降级到 SSL 3.0，然后每约 256 次请求解密 1 个字节。

完全禁用 SSL 3.0（TLS_FALLBACK_SCSV 扩展会标记有意进行的降级，从而防止恶意降级）。对于错误忽略 CBC 填充结构的 TLS 实现，POODLE 同样适用。

使用过时且弱化的 eNcryption 解密 RSA：如果服务器与任何接受 SSLv2 的服务器共用 RSA 密钥，就可以针对 SSLv2 发起 Bleichenbacher 风格的填充预言机攻击，从而解密 TLS 1.2 会话。受影响的 HTTPS 服务器占 33%。

主动攻击者可以丢弃或破坏数据包，迫使两个端点协商使用更弱的协议或加密算法。TLS_FALLBACK_SCSV（RFC 7507）会标示客户端支持的最高协议版本，从而防止恶意降级。

CBC 模式 TLS 中的计时侧信道：MAC 验证时间会随填充长度变化。攻击者测量响应时间，以区分有效填充和无效填充，从而在网络上构造填充预言机。每个字节需要约 2^23 次预言机查询。

RC4 生成的字节存在偏差，其中第 2 个字节偏向 0。对于标头在固定偏移处重复出现的 TLS 会话（例如 cookie），使用约 2^24 个样本就可能通过统计方法恢复明文。根据 RFC 7465（2015），TLS 已禁止使用 RC4。

这不是 TLS 协议缺陷，而是 OpenSSL 的实现漏洞：Heartbeat 扩展会从目标缓冲区之后读取最多 64 KB 的数据，导致服务器内存中的私钥、会话令牌和密码泄露。当时 17% 的安全 Web 服务器存在此漏洞。

TLS 1.3 移除了 CBC 加密算法、RC4、SSL 2.0/3.0、静态 RSA 密钥交换和压缩。强制使用 ECDHE 可确保前向保密性。缩减后的加密套件列表消除了所有已知协议层攻击的攻击面。

您已经学习了 BEAST、POODLE、DROWN、Lucky13 和 RC4 偏差攻击。TLS 1.3 消除了导致这些攻击成为可能的条件。下一步：了解 JWT 的结构、签名和漏洞。