Nodejs - Expressjs SSL (HTTPS) BEAST 攻击 --- 节点不遵守订单答案

【问题标题】：Nodejs - Expressjs SSL (HTTPS) BEAST Attack --- Node not honoring orderNodejs - Expressjs SSL (HTTPS) BEAST 攻击 --- 节点不遵守订单
【发布时间】：2013-05-23 06:24:29
【问题描述】：

我有一个带有 EV 的 SSL 证书，我正在关注 Eric Martindale's instructions 以减轻 BEAST 攻击，但我仍然显示出该攻击的漏洞。

根据 SSL Labs，即使我设置了 HonorCipherOrder，它也只会列出这些密码并忽略顺序：

密码套件（按强度排序；服务器没有偏好）
TLS_RSA_WITH_RC4_128_SHA (0x5) 128
TLS_RSA_WITH_AES_128_CBC_SHA (0x2f) 128
TLS_RSA_WITH_AES_256_CBC_SHA (0x35) 256

BEAST 攻击易受攻击的不安全

这是我的代码：

THE MODULE
module.exports = {
    key: fs.readFileSync(__dirname + '/../vault/ssl/' + serverInfo.serverType + '.key'),
    cert: fs.readFileSync(__dirname + '/../vault/ssl/' + serverInfo.serverType + '.pem'),
    ciphers: 'ECDHE-RSA-AES256-SHA:AES256-SHA:RC4-SHA:RC4:HIGH:!MD5:!aNULL:!EDH:!AESGCM',
    honorCipherOrder: true
};

THE SERVER.JS FILE
var sslOptions = require(__dirname + '/app_modules/ssl.js');
https.createServer(sslOptions, app).listen(securePort);

如何防御 BEAST 攻击？似乎命令需要兑现，但事实并非如此。

【问题讨论】：

标签： node.js ssl express

【解决方案1】：

在这里使用了这个解决方案。

https://certsimple.com/blog/a-plus-node-js-ssl

这是用于缓解前向保密问题的密码列表。

[
    "ECDHE-RSA-AES256-SHA384",
    "DHE-RSA-AES256-SHA384",
    "ECDHE-RSA-AES256-SHA256",
    "DHE-RSA-AES256-SHA256",
    "ECDHE-RSA-AES128-SHA256",
    "DHE-RSA-AES128-SHA256",
    "HIGH",
    "!aNULL",
    "!eNULL",
    "!EXPORT",
    "!DES",
    "!RC4",
    "!MD5",
    "!PSK",
    "!SRP",
    "!CAMELLIA"
]

【讨论】：

【解决方案2】：

正在寻找相同问题的解决方案，发现http://www.ericmartindale.com/2012/07/19/mitigating-the-beast-tls-attack-in-nodejs/

【讨论】：