降级攻击

降级攻击(英语:Downgrade attack)是一种对计算机系统通讯协议的攻击。在降级攻击中,攻击者故意使系统放弃新式、安全性高的工作方式(如加密连接),反而使用为向下兼容而准备的老式、安全性差的工作方式(如明文通讯)。例如,在OpenSSL中曾经存在一个缺陷,从而使攻击者能够让SSL/TLS服务器与客户端建立老版本TLS连接,尽管双方事实上支持新版本。[1]这样的攻击是最常见的降级攻击。

降级攻击常被用于中间人攻击,将加密通讯的安全性大幅削弱,得以进行原本不可能做到的攻击。

去除向下兼容往往是解决降级攻击的有效手段。

参考资料

  1. ^ Praetorian. Man-in-the-Middle TLS Protocol Downgrade Attack. Praetorian. [2016-04-13]. (原始内容存档于2020-03-17) (美国英语).