负鼠攻击：新型漏洞威胁TLS加密连接，可实施中间人攻击与数据注入
💡
原文中文，约1400字，阅读约需4分钟。
📝
内容提要
研究人员发现了一种新型的"负鼠攻击"漏洞，攻击者利用隐式TLS和机会型TLS的安全缺陷，能够破坏加密连接的完整性，实施中间人攻击。建议全面弃用机会型TLS以防止此类攻击。
🎯
关键要点
- 研究人员发现了一种新型的'负鼠攻击'漏洞，利用隐式TLS和机会型TLS的安全缺陷。
- 攻击者可以破坏加密连接的完整性，实施中间人攻击。
- 隐式TLS在数据交换前完成TLS协商，而机会型TLS在明文会话后中途升级为TLS连接。
- 当客户端与服务器对加密方式认知不一致时，负鼠攻击便有机可乘。
- 攻击者可注入恶意请求，导致浏览器接受错误响应，持续破坏后续通信。
- 研究团队验证了四种主要攻击路径，包括资源混淆和会话固定等。
- 超过300万台服务器同时支持隐式与机会型TLS，存在被利用风险。
- 研究团队建议全面弃用机会型TLS协议，以防止负鼠攻击。
❓
延伸问答
负鼠攻击是什么？
负鼠攻击是一种新型漏洞，利用隐式TLS和机会型TLS的安全缺陷，攻击者可以破坏加密连接的完整性，实施中间人攻击。
负鼠攻击是如何实施的？
攻击者通过制造客户端与服务器对加密方式认知不一致的状态，诱使受害者接受恶意响应，从而实施中间人攻击。
隐式TLS和机会型TLS有什么区别？
隐式TLS在数据交换前完成TLS协商，而机会型TLS在明文会话后中途升级为TLS连接。
负鼠攻击的主要风险是什么？
负鼠攻击可以导致攻击者注入恶意请求，破坏加密连接的完整性，影响后续通信，甚至实现会话劫持。
研究人员对防范负鼠攻击有什么建议？
研究团队建议全面弃用机会型TLS协议，以防止负鼠攻击的发生。
负鼠攻击影响了多少台服务器？
研究发现超过300万台服务器同时支持隐式与机会型TLS，存在被利用的风险。
➡️
