SSL/TLS Renegotiation Güvenlik Açığı

SSL Renegotiation Nedir?

Renegotiation, mevcut bir SSL bağlantısı üzerinde yeni parametrelerle yeniden müzakere yapılmasıdır. Bu özelliğin güvensiz implementasyonu saldırılara açık olabilir.

Güvensiz Renegotiation Riski

Saldırgan, istemci ile sunucu arasındaki bağlantıya müdahale ederek kendi verilerini enjekte edebilir.

Çözüm

Nginx

# Client tarafından başlatılan renegotiation'ı devre dışı bırakın
ssl_prefer_server_ciphers on;

Apache

# Güvenli renegotiation zorunlu
SSLInsecureRenegotiation off

Kontrol

openssl s_client -connect ornek.com:443
# Bağlantı kurulduktan sonra "R" yazıp Enter'a basın
# "RENEGOTIATING" ve ardından başarılı bağlantı = güvenli
# Hata = güvensiz veya devre dışı