asp.net - ASP.NET 上的 oracle padding 攻击是如何修复的？

Question

微软发布了他们的out of band release to fix the security flaw昨天在 ASP.NET 中。

微软使用了什么方法来终止这个载体的生存能力？

Answer 1

对这些变化的精彩总结来自 http://musingmarc.blogspot.com/2010/09/ms10-070-post-mortem-analysis-of-patch.html

• 不要泄漏异常信息 - 这可以防止漏洞利用程序发现损坏的内容。
• 不要在填充检查上短路(填充正确的时间与填充损坏的时间相同)- 这可以防止漏洞利用看到不正确填充的时间差异。
• 不要对 IHttpHandler.ProcessRequest 中的异常捕获过于挑剔 - 这可以防止漏洞利用发现您捕获了一种异常 (CryptographicException) 而不是所有异常。
• 从基于哈希的初始化向量切换为随机 IV - 这可以防止利用数据和哈希之间的关系来更快地解密。
• 允许向后兼容 - 如果这会破坏某些内容，请允许部分恢复新行为。
• 在进行代码审查时，请进行更改以明确您已考虑过新选项。