SSL的替代品

Question

因此，在过去几年中，似乎SSL已经从安全社区中受到了相当大的打击。虽然技术原因超出了我的理解范围，但我理解这些概念并理解SSL随着新的弱点而变得越来越不安全。

我的问题是你们： 如果SSL“被打破”，是否有可以取代它的技术？有更安全的替代方案吗？

任何想法都表示赞赏！ ：）

（ps，我不是特别谈论HTTPS - 我的意思是任何SSL技术）

Answer 1

SSL 未破坏。该协议设计为健壮的，可以在特定的密码套件中找到问题，并且补丁就像使用新的一线配置更改一样简单。有SSLStrip之类的攻击以及预防它的方法，例如HTTP STS。

最大的问题是人们不经常使用HTTPS。这会导致像OWASP a9这样的问题，firesheep等工具可以利用这些问题。

Answer 2

我不同意之前的回复，即SSL没有被破坏 - 最近的一个主要问题是CA（证书颁发机构）受到了损害。 SSL旨在使用受信任的第三方 - 永远。如果任何受信任的人受到损害，他们就拥有城堡的钥匙。

我们已经看到了一些像Comodo和DigiNotar这样的大名鼎鼎的名字。 NIST发布ITL bulletin on how to respond to CA compromises这个问题已成为一个大问题。所以我认为虽然SSL / TLS的某些实现在技术上仍然合理，但“破损”部分是一个与“信任”源有关的设计问题。

Answer 3

OpenSSL确实存在一些不安全感，并且有一个修复它们的提议。 TACK建立在谷歌引入的称为钉扎技术的基础之上。这是提交给TLS工作组的。

http://tack.io/draft.html