安全漏洞问题2：传输层保护不足

安全漏洞问题2：传输层保护不足
1.1. 漏洞描述
WEB应用程序在进行数据传输时，可能会选择HTTP或者HTTPS。对于前者，在传输的过程中，对传输数据并未做保护。在传输过程中，传输数据有可能被恶意用户截获、篡改。对于未使用SSL/TSL保护的传输通道，我们称之为传输层层保护不足。
注：此漏洞对太保内部应用不做强制要求，仅要求应用系统在用户密码传输过程中保证密文状态。实现方法可以对链路做SSL加密，也可以在客户端对密码做Hash。
1.2. 漏洞危害
传输层保护不足，可能会造成如下危害：
 可能导致用户凭证和用户会话信息被窃取
 可能导致敏感信息泄露、篡改
1.3. 解决方案
针对传输层保护不足，可采用如下解决办法：
 对所有验证页面都使用SSL或TLS加密；
 对所有敏感信息的传输都使用SSL/TLS加密；
 在网页中不要混杂HTTP和HTTPS内容；
 对Cookie使用Secure标签；
 保持服务器证书的有效性/合法性；
 只允许SSL 3.0或TLS 1.0以上版本协议；
 有需要的情况下，要求客户端证书。