अब SSL 3 को POODLE हमले के लिए कमजोर पाया गया है :
SSL / TLS के कौन से संस्करण System.Net.WebRequest का उपयोग किसी भी https Uri से कनेक्ट करते समय करते हैं?
मैं कई 3rd पार्टी एपीआई से कनेक्ट करने के लिए WebRequest का उपयोग करता हूं। इनमें से एक ने अब कहा है कि वे SSL 3. का उपयोग करने वाले किसी भी अनुरोध को रोक देंगे। लेकिन WebRequest .Net कोर फ्रेमवर्क (4.5 का उपयोग करके) का हिस्सा है, इसलिए यह स्पष्ट नहीं है कि यह किस संस्करण का उपयोग करता है।
जवाबों:
System.Net.WebRequest का उपयोग करते समय आपका एप्लिकेशन उच्चतम TLS संस्करण का निर्धारण करने के लिए सर्वर से बातचीत करेगा, जो आपके एप्लिकेशन और सर्वर दोनों का समर्थन करता है, और इस का उपयोग करें। आप इस बारे में अधिक जानकारी देख सकते हैं कि यह यहाँ कैसे काम करता है:
http://en.wikipedia.org/wiki/Transport_Layer_Security#TLS_handshake
यदि सर्वर टीएलएस का समर्थन नहीं करता है तो यह एसएसएल में वापस आ जाएगा, इसलिए यह संभावित रूप से एसएसएल 3 में वापस आ सकता है। आप उन सभी संस्करणों को देख सकते हैं जो .NET 4.5 यहां समर्थन करते हैं:
http://msdn.microsoft.com/en-us/library/system.security.authentication.sslprotocols(v=vs.110).aspx
अपने एप्लिकेशन को POODLE के प्रति संवेदनशील होने से बचाने के लिए, आप SSL3 को उस मशीन पर अक्षम कर सकते हैं, जिस पर आपका एप्लिकेशन इस कार्य को चला रहा है:
/server/637207/on-iis-how-do-i-patch-the-ssl-3-0-poodle-vulnerability-cve-2014-3566
SecurityProtocolType.Tls.net फ्रेमवर्क 3.5 या उससे कम में (और इसलिए टीएलएस 1.0) का विकल्प है
TLSथा कि वास्तव में ओएस / मशीन के स्तर पर लागू किया जाएगा? क्या ऐसा नहीं है कि वास्तविक HTTP ट्रैफ़िक कहाँ हो रहा है? इसलिए मुझे नहीं लगता कि यह एक विशेष टीएलएस का उपयोग करने के लिए अपने कोड को बताने की कोशिश करना समझ में आता है जो वास्तव में ओएस द्वारा निर्धारित किया गया है।
यह एक महत्वपूर्ण सवाल है। 2014 के प्रकाशित Poodle के हमले से SSL 3 प्रोटोकॉल (1996) अपूरणीय रूप से टूट गया है। IETF ने "SSLv3 MUST NOT इस्तेमाल किया" प्रकाशित किया है । वेब ब्राउजर इसे डिच कर रहे हैं। मोज़िला फ़ायरफ़ॉक्स और गूगल क्रोम पहले ही ऐसा कर चुके हैं।
ब्राउज़रों में प्रोटोकॉल समर्थन की जाँच के लिए दो उत्कृष्ट उपकरण एसएसएल लैब के ग्राहक परीक्षण और https://www.howsmyssl.com/ हैं । उत्तरार्द्ध को जावास्क्रिप्ट की आवश्यकता नहीं है, इसलिए आप इसे .NET के HttpClient से आज़मा सकते हैं :
// set proxy if you need to
// WebRequest.DefaultWebProxy = new WebProxy("http://localhost:3128");
File.WriteAllText("howsmyssl-httpclient.html", new HttpClient().GetStringAsync("https://www.howsmyssl.com").Result);
// alternative using WebClient for older framework versions
// new WebClient().DownloadFile("https://www.howsmyssl.com/", "howsmyssl-webclient.html");
परिणाम हानिकारक है:
आपका क्लाइंट टीएलएस 1.0 का उपयोग कर रहा है, जो कि बहुत पुराना है, संभवतः BEAST हमले के लिए अतिसंवेदनशील है, और उस पर सबसे अच्छा सिफर सूट उपलब्ध नहीं है। MD5-SHA-1 को बदलने के लिए AES-GCM, और SHA256 जैसे परिवर्धन TLS 1.0 क्लाइंट के साथ-साथ कई और आधुनिक सिफर सुइट्स के लिए उपलब्ध नहीं हैं।
जिसके विषय में है। यह 2006 के इंटरनेट एक्सप्लोरर 7 के बराबर है।
एक HTTP क्लाइंट का समर्थन करने वाले प्रोटोकॉल को वास्तव में सूचीबद्ध करने के लिए, आप नीचे दिए गए संस्करण-विशिष्ट परीक्षण सर्वर आज़मा सकते हैं:
var test_servers = new Dictionary<string, string>();
test_servers["SSL 2"] = "https://www.ssllabs.com:10200";
test_servers["SSL 3"] = "https://www.ssllabs.com:10300";
test_servers["TLS 1.0"] = "https://www.ssllabs.com:10301";
test_servers["TLS 1.1"] = "https://www.ssllabs.com:10302";
test_servers["TLS 1.2"] = "https://www.ssllabs.com:10303";
var supported = new Func<string, bool>(url =>
{
try { return new HttpClient().GetAsync(url).Result.IsSuccessStatusCode; }
catch { return false; }
});
var supported_protocols = test_servers.Where(server => supported(server.Value));
Console.WriteLine(string.Join(", ", supported_protocols.Select(x => x.Key)));
मैं .NET फ्रेमवर्क का उपयोग कर रहा हूँ 4.6.2। मैंने पाया कि HttpClient केवल SSL 3 और TLS 1.0 का समर्थन करता है। यह विषय है। यह 2006 के इंटरनेट एक्सप्लोरर 7 के बराबर है।
अद्यतन: यह मुड़ता है HttpClient टीएलएस 1.1 और 1.2 का समर्थन करता है, लेकिन आपको उन्हें मैन्युअल रूप से चालू करना होगा System.Net.ServicePointManager.SecurityProtocol। Https://stackoverflow.com/a/26392698/284795 देखें
मुझे नहीं पता कि यह खराब प्रोटोकॉल का उपयोग क्यों करता है। ऐसा लगता है कि एक खराब सेटअप पसंद है, एक प्रमुख सुरक्षा बग के लिए टेंटमाउंट (मैं शर्त लगाता हूं कि बहुत सारे एप्लिकेशन डिफ़ॉल्ट नहीं बदलते हैं)। हम इसे कैसे रिपोर्ट कर सकते हैं?
मैंने वहां एक उत्तर भी दिया, लेकिन @Colonel पैनिक का लेख टीएलएस 1.2 को मजबूर करने के सुझाव को संदर्भित करता है। भविष्य में, जब टीएलएस 1.2 के साथ छेड़छाड़ की जाती है या सिर्फ सुपरसीड किया जाता है, तो आपका कोड टीएलएस 1.2 से अटका रहना एक कमी माना जाएगा। TLS1.2 के लिए बातचीत डिफ़ॉल्ट रूप से .Net 4.6 में सक्षम है। यदि आपके पास अपने स्रोत को .net 4.6 में अपग्रेड करने का विकल्प है, तो मैं अत्यधिक टीएलएस 1.2 को मजबूर करने के लिए उस बदलाव की सिफारिश करूंगा।
यदि आप टीएलएस 1.2 को बल देते हैं, तो दृढ़ता से कुछ प्रकार के ब्रेडक्रंब को छोड़ने पर विचार करें जो कि 4.6 या उच्चतर ढांचे में अपग्रेड करने पर उस बल को हटा देगा।