OpenSSL CCSインジェクションの脆弱性（CVE-2014-0224）はどのように利用されるのですか？
これが実際にどのように機能するか、そしてそれが実際に行われたのと同じくらいのリスクであるかどうかに興味がありますか？理解できるMiTMシナリオを積極的に必要としていますが、実際に暗号仕様をダウングレードする手順は何ですか？
MiTMとして、クライアント/サーバー間でメッセージを変更しようとすると（つまり、CipherSpecをダウングレードするため）、SSLの性質上、クライアントはメッセージが目的のソースからのものではないという通知を受け取るでしょう。
または、攻撃者はすべての接続のクライアント/サーバーのCipherSpecを変更し、それらの間のトラフィックを単純に傍受しますか？
または、これを別のSSLの脆弱性と組み合わせて、クライアントをだまして自分がソースであると考えさせ、それによって自分の間のメッセージを信頼できるようにする必要がありますか？
この攻撃の考え方は、SSLハンドシェイクで行われているため、クライアントはまだMITMを認識せず、攻撃は暗号化のキーをダウングレードして、クライアントが通信していると信じ込ませるために管理します。実サーバー。したがって、誰かがクライアントとサーバーの両方でMITMを管理している場合、脆弱なバージョンのゲームでOpen sslを使用します。
このブログの投稿には素敵な説明があり、バグについて詳しく説明しています： https://www.imperialviolet.org/2014/06/05/earlyccs.html