远程服务接受使用 SSL 2.0 和/或 SSL 3.0 加密的连接。这些 SSL 版本受到多个加密缺陷的影响，包括：

  - 采用 CBC 加密方式的不安全填充方案

  - 不安全的会话重新协商和恢复方案。

攻击者可利用这些缺陷实施中间人攻击，或者对受影响的服务和客户端之间的通信进行解密。

尽管 SSL/TLS 拥有用于选择协议最高支持版本的安全方法（以便仅在客户端或服务器没有更优版本可以支持的情况下使用这些版本），但许多 Web 浏览器仍然以不安全的方式实现此操作，进而导致攻击者将连接降级（例如 POODLE）因此，建议完全禁用这些协议。

NIST 已确定 SSL 3.0 不再适用于安全通信。自 PCI DSS v3.1 中的强制执行之日起，SSL 的任何版本将不再符合 PCI SSC 的“强加密”定义。

检测

SSL 版本 2 和 3 协议检测

critical Nessus 插件 ID 20007

未找到变更日志