Правильная настройка TLS/SSL — критична для безопасности веб-приложений.
➡️
sslyze помогает быстро анализировать серверы на предмет уязвимостей и ошибок в настройках:— Проверяет поддержку TLS 1.0, 1.1, 1.2, 1.3.
— Оценка безопасности Cipher Suites.
— Проверка на уязвимости: Heartbleed, POODLE, DROWN и другие.
— Проверка сертификатов на корректность, дату истечения и силу ключей.
✏️ Пример команды:
sslyze --tlsv1_2 --show_ciphers example.com
Этот запрос проверяет сервер на поддержку TLS 1.2 и отображает доступные шифры.
➡️
testssl.sh — скрипт для проверки конфигурации серверов, выявления старых протоколов и уязвимостей.— Проверяет поддержку SSLv2, SSLv3, TLS 1.0, TLS 1.1.
— Анализирует цепочки сертификатов.
— Выявляет уязвимости типа BEAST, POODLE, DROWN.
— Оценивает настройки безопасности, такие как HSTS и Forward Secrecy.
✏️ Пример команды:
testssl.sh --ssl2 --ssl3 --tls1.0 --tls1.1 example.com
Эта команда проверяет поддержку устаревших версий протоколов и уязвимости, связанные с ними.
Почему это важно:
➡️ SSLv2 и SSLv3 уязвимы и не должны использоваться в современных приложениях.
➡️ TLS 1.2 и 1.3 — безопасные протоколы, поддерживающие современные криптографические алгоритмы.
➡️ HSTS защищает от атак SSL stripping, обеспечивая обязательное использование HTTPS.
➡️ Forward Secrecy гарантирует, что ключи сеансов не могут быть расшифрованы при компрометации долгосрочных ключей.
🐸 Библиотека хакера
#буст