“黑客”深度學習之“SSL寧靜協議詳解”

"SSL"協議關于黑客武藝學習,是必必要把握的,由于它在很多使用通訊中無處不在。

"SSL"這個名詞，約莫各位沒怎樣聽說過，但是它的一個使用各位一定都熟習，那就是"HTTPS"！

HTTPS是基于SSL寧靜毗連的HTTP協議。HTTPS經過SSL提供的數據加密、身份驗證和消息完備性驗證等寧靜機制，為Web拜候提供了寧靜性確保，廣泛使用于網上銀行、電子商務等范疇。

"SSL"是不是很牛！今天我就給各位以本篇文章內容具體剖析一下"SSL"寧靜協議！

一、"SSL"簡介

1、基本界說

寧靜套接字（Secure Socket Layer，SSL）協議是Web欣賞器與Web辦事器之間寧靜互換信息的協議，提供兩個基本的寧靜辦事：辨別與保密。

2、產生背景

基于因特網的電子商務和網上銀行等新興使用，極大場合便了人們的平常生存，遭到人們的喜愛。由于這些使用都必要在網絡上舉行在線買賣，它們對網絡通 信的寧靜性提出了更高的要求。

傳統的因特網協議HTTP不具有寧靜機制——接納明文的情勢傳輸數據、不克不及驗證通訊兩邊的身份、無法避免傳輸的數據被竄改 等，招致HTTP無法滿意電子商務和網上銀行等使用的寧靜性要求。

Netscape公司提出的寧靜協議SSL，使用數據加密、身份驗證和消息完備性驗證機制，為網絡上數據的傳輸提供寧靜性確保。SSL可以為HTTP提供寧靜毗連，從而很大水平上改良了因特網的寧靜性成績

3、SSL武藝優點與不敷

優點：

1) 提供較高的寧靜性確保

SSL使用數據加密、身份驗證和消息完備性驗證機制，確保網絡上數據傳輸的寧靜性。

2) 支持種種使用層協議。

固然SSL計劃的初志是為了處理萬維網寧靜性成績，但是由于SSL位于使用層和傳輸層之間，它可以為任何基于TCP等可靠毗連的使用層協議提供寧靜性確保。

3) 擺設簡便。

現在SSL以前成為網絡中用來辨別網站和網頁欣賞者身份，在欣賞器使用者及Web辦事器之間舉行加密通訊的舉世化標準。SSL協議已被集成到大局部的欣賞器中，如IE、Netscape、Firefox等。這就意味著幾乎隨意一臺裝有欣賞器的盤算機都支持SSL毗連，不必要安裝分外的客戶端軟件。

SSL協議的不敷：

1）SSL要求對每個數據舉行加密息爭密利用，因此在帶來高功能的同時，對體系也要求高資源開支。

2）SSL協議主要是使用公開密鑰體制和X.509數字證書武藝保護信息傳輸的奧密性和完備性，它不克不及確保信息的不成承認性，主要實用于點對點之間的信息傳輸，常用Web Server辦法。 3）SSL為帶有寧靜功效的TCP/IP套接字使用步驟接口提供了一個交換的辦法，實際上，在SSL之上可以寧靜辦法運轉任何原有TCP/IP使用步驟而不需修正，但實踐上，SSL現在還只是用在HTTP毗連上。

二、SSL協議的事情原理

1、SSL協議所處的地點

SSL介于使用層和TCP層之間。使用層數據不再直接轉達給傳輸層，而是傳

遞給SSL層，SSL層對從使用層收到的數據舉行加密，并增長本人的SSL頭。

如上圖所示，SSL位于使用層和傳輸層之間，它可以為任何基于TCP等可靠毗連的使用層協議提供寧靜性確保。SSL協議本身份為兩層：

表層為SSL握手協議（SSL handshake protocol）、SSL暗碼厘革協議（SSL change cipher spec protocol）和SSL告誡協議（SSL alert protocol）

底層為SSL紀錄協議（SSL record protocol）。

此中：

SSL握手協議：是SSL協議十分緊張的構成局部，用來協商通訊歷程中使用的加密套件（加密算法、密鑰互換算法和MAC算法等）、在辦事器和客戶端之間寧靜地互換密鑰、完成辦事器和客戶端的身份驗證。

SSL暗碼厘革協議：客戶端和辦事器端經過暗碼厘革協議關照對端，隨后的報文都將使用新協商的加密套件和密鑰舉行保護和傳輸。

SSL告誡協議：用來向通訊對端報告告警信息，消息中包含告警的嚴峻級別和形貌。

SSL紀錄協議：主要賣力對表層的數據（SSL握手協議、SSL暗碼厘革協議、SSL告誡協媾和使用層協議報文）舉行分塊、盤算并添加MAC值、加密，并把處理后的紀錄塊傳輸給對端。

2、協議寧靜機制

1) 傳輸數據的奧密性

網絡上傳輸的數據十分容易被不法用戶盜取，SSL接納在通訊兩方之間創建加密通道的辦法確保傳輸數據的奧密性。

所謂加密通道，是指發送方在發送數據前，使用加密算法和加密密鑰對數據舉行加密，然后將數據發送給對方。吸收方吸收到數據后，使用解密算法息爭密密鑰從密文中獲取明文。沒有解密密鑰的第三方，無法將密文規復為明文，從而保 證傳輸數據的奧密性。

SSL加密通道上的數據加解密使用對稱密鑰算法，主要支持的算法有DES、3DES、AES等，這些算法都可以好效地避免交互數據被竊聽。

2) 身份驗證機制

電子商務和網上銀行等使用中必需確保要登錄的Web辦事器是真實的，以免緊張信息被不法盜取。SSL使用數字署名來驗證通訊對端的身份。

非對稱密鑰算法可以用來完成數字署名。由于經過私鑰加密后的數據只能使用對應的公鑰舉行解密，因此依據解密對否告捷，就可以推斷發送者的身份，好像發送者對數據舉行了"署名"。

SSL客戶端必需驗證SSL辦事器的身份，SSL辦事器對否驗證SSL客戶端的身份，則由SSL辦事器決定。

使用數字署名驗證身份時，必要確保被驗證者的公鑰是真實的，不然，不法用戶約莫會假冒被驗證者與驗證者通訊。如下圖所示，Cindy假冒Bob，將本人的公鑰發給Alice，并使用本人的私鑰盤算出署名發送給Alice，Alice使用"Bob"的公鑰（實踐上為Cindy的公鑰）告捷驗證該署名，則Alice以為Bob的身份驗證告捷，而實踐上與Alice通訊的是假冒Bob的Cindy。SSL使用PKI提供的機制確保公鑰的真實性。PKI武藝在我之前的文章里有具體論述。

3) 消息完備性驗證

為了制止網絡中傳輸的數據被不法竄改，SSL使用基于MD5或SHA的MAC算法來確保消息的完備性。

MAC算法是在密鑰到場下的數據擇要算法，能將密鑰和隨意長度的數據轉換為安穩長度的數據。使用MAC算法驗證消息完備性的歷程如下圖所看到的。

發送者在密鑰的到場下，使用MAC算法盤算出消息的MAC值。并將其加在消息之后發送給吸收者。吸收者使用相反的密鑰和MAC算法盤算出消息的MAC值。并與吸收到的MAC值比較。假定二者相反。則報文沒有改動；不然，報文在傳輸歷程中被竄改，吸收者將丟棄該報文。

MAC算法具有如以下特性，使其可以用來驗證消息的完備性：

消息的不管什么改動，都市惹起輸入的安穩長度數據產生厘革。經過比較MAC值，可以確保吸收者可以發覺消息的改動。

MAC算法必要密鑰的參與。因此沒有密鑰的不法用戶在改動消息的內容后，無法到場準確的MAC值。從而確保不法用戶無法隨意竄改消息內容。

3、SSL協議握手歷程

SSL經過握手歷程在客戶端和辦事器之間協商會話參數，并創建會話。會話包含的主要參數有會話ID、對方的證書、加密套件（密鑰互換算法、數據加密算法和MAC算法等）以及主密鑰（master secret）。經過SSL會話傳輸的數據，都將接納該會話的主密鑰和加密套件舉行加密、盤算MAC等處理。

不同情況下，SSL握手歷程存在差別。底下將分散形貌以下三種情況下的握手歷程：

1) 只驗證辦事器的SSL握手歷程

歷程如下：

(1) SSL客戶端經過Client Hello消息將它支持的SSL版本、加密算法、密鑰互換算法、MAC算法等信息發送給SSL辦事器。

(2) SSL辦事器確定本次通訊接納的SSL版本和加密套件，并經過Server Hello消息關照給SSL客戶端。假如SSL辦事器允許SSL客戶端在今后的通訊中重用本次會話，則SSL辦事器會為本次會話分派會話ID，并經過Server Hello消息發送給SSL客戶端。

(3) SSL辦事器將攜帶本人公鑰信息的數字證書經過Certificate消息發送給SSL客戶端。

(4) SSL辦事器發送Server Hello Done消息，關照SSL客戶端版本和加密套件協商完畢，開頭舉行密鑰互換。

(5) SSL客戶端驗證SSL辦事器的證書合法后，使用證書中的公鑰加密SSL客戶端隨機天生的premaster secret，并經過Client Key Exchange消息發送給SSL辦事器。

(6) SSL客戶端發送Change Cipher Spec消息，關照SSL辦事器后續報文將接納協商好的密鑰和加密套件舉行加密和MAC盤算。

(7) SSL客戶端盤算已交互的握手消息（除Change Cipher Spec消息外一切已交互的消息）的Hash值，使用協商好的密鑰和加密套件處理Hash值（盤算并添加MAC值、加密等），并經過Finished消息發送給SSL辦事器。SSL辦事器使用相反的辦法盤算已交互的握手消息的Hash值，并與Finished消息的解密后果比力，假如二者相反，且MAC值驗證告捷，則證實密鑰和加密套件協商告捷。

(8) 相反地，SSL辦事器發送Change Cipher Spec消息，關照SSL客戶端后續報文將接納協商好的密鑰和加密套件舉行加密和MAC盤算。

(9) SSL辦事器盤算已交互的握手消息的Hash值，使用協商好的密鑰和加密套件處理Hash值（盤算并添加MAC值、加密等），并經過Finished消息發送給SSL客戶端。SSL客戶端使用相反的辦法盤算已交互的握手消息的Hash值，并與Finished消息的解密后果比力，假如二者相反，且MAC值驗證告捷，則證實密鑰和加密套件協商告捷。

SSL客戶端吸收到SSL辦事器發送的Finished消息后，假如解密告捷，則可以推斷SSL辦事器是數字證書的擁有者，即SSL辦事器身份驗證告捷，由于僅有擁有私鑰的SSL辦事器才干從Client Key Exchange消息中解密取得premaster secret，從而直接地完成了SSL客戶端對SSL辦事器的身份驗證。

2) 驗證辦事器和客戶端的SSL握手歷程

歷程如下：

(1) SSL辦事器發送Certificate Request消息，哀求SSL客戶端將其證書發送給SSL辦事器。

(2) SSL客戶端經過Certificate消息將攜帶本人公鑰的證書發送給SSL辦事器。SSL辦事器驗證該證書的合法性。

(3) SSL客戶端盤算已交互的握手消息、主密鑰的Hash值，使用本人的私鑰對其舉行加密，并經過Certificate Verify消息發送給SSL辦事器。

(4) SSL辦事器盤算已交互的握手消息、主密鑰的Hash值，使用SSL客戶端證書中的公鑰解密Certificate Verify消息，并將解密后果與盤算出的Hash值比力。假如二者相反，則SSL客戶端身份驗證告捷。

3) 恢復原有會話的SSL握手歷程

(1) SSL客戶端發送Client Hello消息，消息中的會話ID設置為方案重用的會話的ID。

(2) SSL辦事器假如允許重用該會話，則經過在Server Hello消息中設置相反的會話ID來應對。如此，SSL客戶端和SSL辦事器就可以使用原有會話的密鑰和加密套件，不必重新協商。

(3) SSL客戶端發送Change Cipher Spec消息，關照SSL辦事器后續報文將接納原有會話的密鑰和加密套件舉行加密和MAC盤算。

(4) SSL客戶端盤算已交互的握手消息的Hash值，使用原有會話的密鑰和加密套件處理Hash值，并經過Finished消息發送給SSL辦事器，以便SSL辦事器推斷密鑰和加密套件對否準確。

(5) 相反地，SSL辦事器發送Change Cipher Spec消息，關照SSL客戶端后續報文將接納原有會話的密鑰和加密套件舉行加密和MAC盤算。

(6) SSL辦事器盤算已交互的握手消息的Hash值，使用原有會話的密鑰和加密套件處理Hash值，并經過Finished消息發送給SSL客戶端，以便SSL客戶端推斷密鑰和加密套件對否準確

4、使用抓包東西直觀分析SSL握手毗連歷程

底下從抓包數據來具體分析這一歷程并分析各局部數據的作用以及照完成前方列出的握手的目標，固然了，最緊張的照舊分析為何這一歷程是寧靜可靠的，第三方無法截獲，竄改大概假冒。

SSL一次哀求與呼應全體流程圖：

1) client發送ClientHello

每一條消息都市包含有ContentType,Version,HandshakeType等信息。

2) server回應ServerHello

這里多了個session id,假如SSL毗連斷開，再次毗連時，可以使用該屬性重新創建毗連，在兩邊都有緩存的情況下可以省略握手的步調。

server端也會天生隨機的RN，用于天生session key使用。

server會從client發送的Cipher suite列表中跳出一個，這里挑選的是RSA+RC4+MD5

這次server共發送的3個handshake 消息:Serverhello，Certificate和ServerHelloDone，共用一個ContentType:Handshake

3) server發送Certificate

server的證書信息，只包含public key，server將該public key對應的private key保存好，用于證實server是該證書的實踐擁有者，那么怎樣驗證呢？原理很簡便：client隨機天生一串數，用server這里的public key加密(顯然是RSA算法)，發給server，server用private key解密后前往給client，client與原文比力，假如一律，則分析server擁有private key，也就分析與client通訊的正是證書的擁有者，由于public key加密的數據，僅有private key才干解密，現在的武藝還沒發破解。使用這個原理，也能完成session key的互換，加密前的那串隨機數就可用作session key，由于除了client和server，沒有第三方能取得該數據了。原理很簡便，實踐使用時會繁復很多，數據顛末多次hash，偽隨機等的運算，前方提到的client和server端得RN都市到場盤算。

4) Server發送ServerHelloDone

5) Client發送ClientKeyExchange

client拿到server的certificate后，就可以開頭使用certificate里的public key舉行session key的互換了。從圖中可以看出，client發送的是130字節的字節流，顯然是加過密的。client隨機天生48字節的Pre-mastersecret，padding后用public key加密就取得這130字節的數據發送給server，server解密也能取得Pre-mastersecret。兩邊使用pre-master secret, "mastersecret"常量字節流，前一階段互換的server端RN和client的RN作為參數，使用一個偽隨機函數PRF，但是就是hash之后再hash，最初取得48字節的master secret。master secret再與"key expansion"常量，兩邊RN顛末偽隨機函數運算取得key_block，PRF偽隨機函數可以可以仿佛循環輸入數據，因此我們想取得幾多字節都可以，就如Random偽隨機函數，給它一個種子，后續用hash盤算能取得多數個隨機數，假如每次種子相反，取得的序列是一樣的，但是這里的輸入時48字節的master secret，2個28字節的RN和一個字符串常量，碰撞的約莫性是很小的。取得key block后，算法，就從中取出session key，IV(對稱算法中使用的初始化向量)等。client和server使用的session key是不一樣的，但只需兩邊都曉得對方使用的是什么就行了。這里會取出4個：client/server加密要文的key，client/server盤算handshake數據hash的key。

6) Client發送ChangeCipherSpec

client指示Server從如今開頭發送的消息都是加密過的。

7) 7.Client發送Finished

client發送的加密數據，這個消息十分緊張，一是能證實握手數據沒有被竄改正，二也能證實本人的確是密鑰的擁有者(這里是單邊驗證，僅有server有certificate，server發送的Finished能證實本人含有private key，原理是一樣的)。client將之前發送的一切握手消息存入handshakemessages緩存，舉行MD5和SHA-1兩種hash運算，再與前方的master secret和一串常量"client finished"舉行PRF偽隨機運算取得12字節的verify data，還要顛末改良的MD5盤算取得加密信息。為什么能證實上述兩點呢，前方說了僅有密鑰的擁有者才干解密取得pre-master key，master key，最初取得key block后，舉行hash運算取得的后果才與發送方的一律。

8) Server發送ChangeCipherSpec

Server指示client從如今開頭發送的消息都是加密過的。

9) Server發送Finishd

與client發送Finished盤算辦法一律。server發送的Finished里包含hash給client，client會舉行校驗，假如經過，分析握手歷程中的數據沒有被第三方竄改正，也分析server是之前互換證書的擁有者。如今兩邊就可以開頭后續通訊，進入Application context了。

三、SSL的使用場景

SSL協議主要使用于"HTTPS"和"SSL VPN"兩大場景。

HTTPS經過SSL提供的數據加密、身份驗證和消息完備性驗證等寧靜機制，為Web拜候提供了寧靜性確保。

比如某銀舉動了便利客戶，提供了網上銀行業務，客戶可以經過拜候銀行的Web辦事器舉行帳戶查詢、轉帳等。經過在客戶和銀行的Web辦事器之間創建SSL毗連，可以確?？蛻舻男畔⒉槐徊环ūI取

SSL VPN是以SSL為基本的VPN武藝，使用SSL提供的寧靜機制，為用戶長程拜候公司內里網絡提供了寧靜確保。SSL VPN經過在長程接入用戶和SSL VPN網關之間創建SSL寧靜毗連，允許用戶經過種種Web欣賞器，種種網絡接入辦法，在任何場合長程拜候企業網絡資源，并可以確保企業網絡的寧靜，保護企業內里信息不被盜取。

四、SSL有缺陷嗎？可否被"黑客"攻破？

寧靜套接層(SSL)被用于保護多數的網絡用戶，但是它有什么缺陷呢?邇來幾年顯現了很多專門打擊SSL的打擊。固然這個武藝實踐上照舊比力寧靜的，但是打擊者不休在尋覓毛病繞過寧靜協媾和標準。此中SSL是他們的主要目標。SSL被用于保護敏感的超文本傳輸協議(HTTP)流量。有一些打擊者則不如此想，他們不休在尋覓拜候敏感數據的新辦法。

底下主要先容稀有"SSL"打擊辦法：

1、詐騙伎倆

詐騙用戶接入一個錯誤的證書。這是一種打擊SSL用戶的常用辦法。其辦法是讓用戶掉臂看到的告誡或錯誤，仍舊堅持拜候這個網站。固然倡導這種打擊很簡便，但是它要求受打擊者承受一個分明有成績的證書。大大多用戶都市發覺這種詐騙舉動;因此，這種要挾的級別較低。

2、虛偽證書

固然這種辦法聽起來有一些牽強，但是它以前取得告捷。偶爾打擊者可以取得一個好效的證書，然后用它們實行惡意舉動。比如，在2011年，有打擊者攻破了荷蘭證書受權的寧靜機制，然后偽造了雅虎、谷歌、Wordpress等網站的證書。在取得好效的證書之后，這些打擊者繞過了HTTPS保護。但是，這種打擊的全體級別仍舊比力低。

3、移除SSL，直接經過明文發送數據

2009年顯現了一種新的SSL打擊辦法，它來自于SSLStrip。這個東西不會讓用戶看到告誡信息，而是充任一個署理辦事器的作用，去掉了HTTPS的S(寧靜性)，如此用戶就只能經過HTTP直接拜候。SSLStrip還允許打擊者給用戶看到加鎖網站圖標，以是發覺錯誤的唯一辦法就是欣賞器地點欄只體現HTTP，而不是HTTPS。假如用戶沒有注意到這個渺小不同，那么打擊者就可以拜候到受保護的數據。這種打擊的要挾級別屬于中級。

4、破解密鑰

現在大大多證書都使用1024位或2048位密鑰。2048位密鑰十分可靠，想要使用一臺平凡桌面電腦來暴力破解它，這幾乎是不成能的。即使云云，以前有報告指出，National Security Agency以前告捷取得了SSL流量的拜候。固然有人以為NSA約莫發覺了新的量子盤算武藝，但是這個機構完全有約莫直接取得了加密密鑰大概在軟件和硬件中植入了后門(入口)。NSA及其他拜候寧靜數據的辦法的要挾級別還不確定。

5、正中人打擊

這種打擊是一種主動竊聽情勢，打擊者將經過獨立毗連拜候打擊目標，然后向辦事器發送信息。此中一個例子就是Lucky 13，它是用傳輸層寧靜媒體拜候控制盤算的13位頭信息定名的。固然這種密文打擊在實際上是約莫完成的，但是它要求先控制情況，并且必要很長的時間;以是，它的要挾級別十分低。

6、邊信道打擊

已往幾年顯現了多次邊信道打擊，它以前證實可用于規復驗證所使用的HTTP哀求和Cookies。 經過順應性超文本緊縮完成的欣賞器偵測和泄漏(BREACH)就是一個例子。BREACH使用緊縮和HTPP呼應，它們尋常都使用gzip等機制緊縮。關于約莫遭到打擊的使用，它必需使用HTTP級緊縮，在HTTP呼應中到場用戶輸入，然后暴露HTTP呼應體的跨站哀求偽造令牌。固然這在實際上是可行的，但是有一些辦法可以克制這種打擊，因此它的要挾級別也較低。

7、Downgrade（升級打擊）

升級打擊是一種對盤算機體系大概通訊協議的打擊，在升級打擊中，打擊者存心使體系丟棄新型、寧靜性高的事情辦法，反而使用為向下兼容而準備的老式、寧靜性差的事情辦法，升級打擊常被用于正中人打擊，講加密的通訊協議寧靜性大幅減弱，得以舉行原本不成能做到的打擊。 在古代的回退防守中，使用單獨的信號套件來指示志愿升級舉動，必要了解該信號并支持更高協議版本的辦事器來停止協商，該套件是TLS_FALLBACK_SCSV(0x5600)

8、CRIME（罪行打擊）

CRIME(CVE-2012-4929)，全稱Compression Ratio Info-leak Made Easy，這是一種因SSL緊縮形成的寧靜隱患，經過它可盜取啟用數據緊縮特性的HTTPS或SPDY協議傳輸的私密Web Cookie。在告捷讀取身份驗證Cookie后，打擊者可以實行會話挾制和倡導進一步打擊。

SSL 緊縮本人述版本是默許關閉的： nginx 1.1.6及更高/1.0.9及更高（假如使用了 OpenSSL 1.0.0及更高）， nginx 1.3.2及更高/1.2.2及更高（假如使用較舊版本的 OpenSSL）。

假如你使用一個早前版本的 nginx 或 OpenSSL，并且你的刊行版沒有向后移植該選項，那么你必要重新編譯沒有一個 ZLIB 支持的 OpenSSL。這會克制 OpenSSL 使用 DEFLATE 緊縮辦法。假如你禁用了這個，你仍舊可以使用常規的 HTML DEFLATE 緊縮。

9、Heartbleed（心血毛?。?/strong>

Heartbleed(CVE-2014-0160) 是一個于2014年4月公布的 OpenSSL 加密庫的毛病，它是一個被廣泛使用的傳輸層寧靜（TLS）協議的完成。無論是辦事器端照舊客戶端在 TLS 中使用了有缺陷的 OpenSSL，都可以被使用該缺陷。由于它是因 DTLS 心跳擴展（RFC 6520）中的輸入驗證不準確（短少了界限反?。┒兄碌?，以是該毛病依據"心跳"而定名。這個毛病是一種緩存區超讀毛病，它可以讀取到本不應該讀取的數據。假如使用帶缺陷的Openssl版本，無論是辦事器照舊客戶端，都約莫因此遭到打擊。

10、POODLE毛病（卷毛狗打擊）

2014年10月14號由Google發覺的POODLE毛病，全稱是Padding Oracle On Downloaded Legacy Encryption vulnerability，又被稱為"高朋犬打擊"（CVE-2014-3566），POODLE毛病只對CBC形式的明文舉行了身份驗證，但是沒有對添補字節舉行完備性驗證，打擊者盜取接納SSL3.0版加密通訊歷程中的內容，對添補字節修正并且使用預置添補來規復加密內容，以到達打擊目標。

11、TLS POODLE（TLS卷毛狗打擊）

TLS POODLE(CVE-2014-8730) 該毛病的原理和POODLE毛病的原理一律，但不是SSL3協議。由于TLS添補是SSLv3的一個子集，因此可以重新使用針對TLS的POODLE打擊。TLS關于它的添補格式好壞常嚴厲的，但是一些TLS完成在解密之后不實行添補布局的反省。即使使用TLS也不會容易遭到POODLE打擊的影響。

12、DROWN（溺水打擊/溺亡打擊）

2016年3月發覺的針對TLS的新毛病打擊——DROWN（Decrypting RSA with Obsolete and Weakened eNcryption，CVE-2016-0800），也即使用過時的、弱化的一種RSA加密算法來解密破解TLS協議中被該算法加密的會話密鑰。 具體說來，DROWN毛病可以使用過時的SSLv2協議來解密與之共享相反RSA私鑰的TLS協議所保護的流量。 DROWN打擊依托于SSLv2協議的計劃缺陷以及著名的Bleichenbacher打擊。