Odkrita je ranljivost SSL 3.0. Ugotovite, kako se zaščititi
- Kategorija: Varnost
Odkrita je bila varnostna ranljivost v SSL 3.0 avtor Bodo Möller in dva druga Googlova sodelavca, ki ju napadalci lahko izrabijo za izračun neposrednega besedila varnih povezav.
SSL 3.0 je stari protokol in večina internetnih strežnikov namesto tega uporablja novejše protokole TLS 1.0, TLS 1.1 ali TLS 1.2. Naročnik in strežnik se običajno strinjata, da bosta med povezavo med protokolom protokola uporabila najnovejšo različico protokola, a ker je TLS nazaj združljiv s SSL 3.0, se lahko zgodi, da se namesto tega uporablja SSL 3.0.
Med prvim poskusom stiskanja je na voljo najvišja podprta različica protokola, vendar če ta stisk ne uspe, se ponudijo starejše različice protokola.
Napadalec, ki nadzira omrežje med odjemalcem in strežnikom, lahko moti poskus stiskanja roke, tako da namesto TLS uporablja SSL 3.0.
Podrobnosti o napadu so na voljo v varnostnem nasvetu 'This POODLE Bites: Exploiting the SSL 3.0 Fallback', ki ga lahko prenesete z kliknite na to povezavo .
Zaščita pred napadom
Ker napadalec uporablja SSL 3.0, bo onemogočanje SSL 3.0 napad v celoti blokiral. Vendar obstaja ena težava: če strežnik ali odjemalec podpirata samo SSL 3.0 in ne TLS, povezave ni več mogoče vzpostaviti.
Lahko tečeš SSL testi o imenih domen, če želite izvedeti, katere različice SSL in TLS podpirajo.
Za zaščito spletnega brskalnika naredite naslednje:
Chrome : Brskalniki, ki temeljijo na Chromu in Chromiumu, ne navajajo nastavitev, ki jih lahko spremenite, če želite urediti najmanjšo in največjo različico protokola, ki jo želite uporabljati. Brskalnik lahko zaženete s parametrom --ssl-verzija-min = tls1 za uveljavitev uporabe samo TLS1 ali višjih protokolov.
Firefox : Odprite stran about: config in potrdite, da boste previdni, če jo prvič odprete. Išči varnost.tls.version.min , dvokliknite in nastavite njegovo vrednost na 1. Zaradi tega je TLS 1.0 najmanjša zahtevana različica protokola.
internet Explorer : Odprite internetne možnosti s klikom na gumb v meniju in v meniju izberite Internetne možnosti. Tam preklopite na Napredno in se pomaknite navzdol, dokler tam ne najdete Uporabi SSL 2.0 in Uporabi SSL 3.0 (blizu dna). Počistite dve možnosti in kliknite spremembo, da uveljavite spremembo.
Mozilla bo odstranila SSL 3.0 v Firefoxu 34, naslednji stabilni različici spletnega brskalnika, ki bo izšla čez šest tednov. Google namerava v naslednjih mesecih odstraniti podporo za SSL 3.0 v Chromu.
Windows: Če želite onemogočiti SSL 3.0 v sistemu Windows, lahko to storite v registru Windows.
- Tapnite Windows-r, vnesite regedit in pritisnite Enter.
- Potrdite, da ga pozove UAC, če se prikaže.
- Pomaknite se do tipke: HKey_Local_Machine System CurrentControlSet Control SecurityProviders SCHANNEL Protocols SSL 3.0 Server
- Če pot ne obstaja, jo ustvarite z desno tipko miške na zadnjo tipko, ki obstaja, in v kontekstnem meniju izberite Novo> Ključ.
- Nato z desno miškino tipko kliknite Server in izberite New> Dword (32-bitna vrednost).
- Ime je omogočeno.
- Nato dvokliknite in nastavite na 0.
- Pomaknite se do tipke: HKey_Local_Machine System CurrentControlSet Control SecurityProviders SCHANNEL Protocols SSL 3.0 odjemalec
- Če pot ne obstaja, jo ustvarite s pomočjo zgornje metode.
- Z desno miškino tipko kliknite odjemalec in izberite Novo> Dword (32-bitna vrednost).
- Ime je omogočeno.
- Dvokliknite in spremenite vrednost na 0.
- Znova zaženite računalnik.
Več informacij je na voljo na ta stran za pomoč .