摘要：我使用所列出的前个网站作为数据源。发现总共有个网站开启了，占总数的。对这个网站的调查密码返回了每个目标服务器上所有支持的密码。下表显示了普遍被支持的密码以及仅被一些网站所支持的密码。最后一项最有趣，似乎的网站仅接受，而的网站仅接受。
目前看来评估不同的SSL/TLS配置已经逐渐成为了我的业余爱好。在10月份发表了Server Side TLS之后，我参与一些讨论密码性能、key的长短、椭圆曲线的安全等问题的次数都明显增多了(比较讽刺的是，当初之所以写“Server Side TLS”就是非常天真的希望减少我在这个话题上的讨论次数)。
SSL/TLS服务器端的配置教程如今越来越多。其中很快就得到关注的一篇是Better Crypto，我们曾经也在dev-tech-crpto邮件列表中讨论了多次。
人们总是对这些话题非常有热情(我也不例外)。但是有一个问题我们一直念念不忘，就是总想着尽快干掉那些被弃用的密码，即便这意味着切断了与一些用户的连接。我是绝对反对这样做的，并且始终坚信最好的做法是为所有用户都维持向后兼容性，即使是以在我们的TLS服务器上保留RC4、3DES或是1024DHE key为代价。
最近在dev-tech-crypto上有这样一个问题：“我们是否可以在Firefox上将RC4完全移除？”。有人可能认为，因为Firefox支持所有其他的密码(AES, AES-GCM, 3DES, Camelia…)，我们当然可以在不影响用户的前提下移除RC4。但是我们没有实际的数据来证明这一点，所以也不能随便作出这样的决定。
接收挑战：我将带上我的武器cipherscan出来兜兜风，并打算扫描下互联网。
扫描方法扫描脚本在GitHub上，数据结果在这里。未压缩的数据有1.2GB之大，但是XZ难以置信的将其压缩成了一个只有17MB大小的数据存档。
我使用Alexa所列出的前1,000,000个网站作为数据源。使用“testtop1m.sh”脚本并行扫描目标，并通过节流来限制同时扫描的数量(设置为100)，然后将结果写入到“results”目录。每个扫描目标的结果被存放在一个json文件中。另一个脚本名为“parse_results.py”，它会扫一遍“results”目录并计算统计数据。非常基础的东东。
我花了大概36个小时来运行整个扫描流程。发现总共有451470个网站开启了TLS，占总数的45%。
虽然这不是一个全面的统计，但这一数据足以让我们评价SSL/TLS在现实世界中的状态。
对这451470个网站的SSL/TLS调查Cipherscan返回了每个目标服务器上所有支持的密码。下表显示了普遍被支持的密码以及仅被一些网站所支持的密码。最后一项最有趣，似乎1.23%的网站仅接受3DES，而1.56%的网站仅接受RC4。这对于那些正考虑放弃支持3DES和RC4的开发者来说是非常重要的数据。
值得注意的是：有两个人不知出于什么原因仅仅只在他们的网站上开启了Camellia。好吧先生们，我为你们举杯。
对于那些不寻常的密码，我为其添加了前缀“z”并放在列表底部，非常的显眼。事实上从28%的网站明确支持DES-CBC-SHA这一点上可以看出更好的TLS文档和培训的必要性。
|
1
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。 转载请注明本文地址：https://www.ucloud.cn/yun/11111.html 相关文章
发表评论0条评论
U2FsdGVkX1x男|高级讲师TA的文章阅读更多
最新活动
阅读需要支付1元查看
|
