2024.10.21 ssl replay attack

https://security.stackexchange.com/questions/218491/why-using-the-premaster-secret-directly-would-be-vulnerable-to-replay-attack 

Why using the premaster secret directly would be vulnerable to replay attack?

 

SSL handshake 과정에서 얻는 premaster secret을 키로 사용하지 않는이유, 클라이언트에서 premaster secret을 만들어 보내지 않는 이유.

음. server random을 사용하므로써 replay공격을 막을 수 있다는데.

공격 시 새로운 세션을 생성한다면 random 값이 있기 때문에 본문 그대로 보내는 것을 막을 수 있다.

세션을 새롭게 만드는 것이 아니라면? (공격자가 세션을 새로만드는지, 기존 세션을 사용하는지는 모르겠지만) MAC에 시퀀스 번호가 있기 떄문에 요청은 무시,차단될 것이다.