Дзен, или изкуството да поддържаш компютър - 7

Резюме

SSL версия 3.0 вече не е защитен. Браузъри и уеб сайтове трябва да изключите SSLv3 и използват по-съвременни протоколи за сигурност възможно най-скоро, за да не се компрометира лична информация на потребителите.

Имаме план да изключите SSLv3 в Firefox. Този план е разработен с други доставчици на браузъра, след екип на Google открива критична недостатък в SSLv3 , която може да позволи на някой хакер да извлича секретна информация от вътрешността на криптиран сделка. SSLv3 е версия на системата за сигурност, която е в основата на защитени уеб транзакции и е известен като "Secure Sockets Layer" (SSL) или "Transport Layer Security" (TLS) е стара.

Издаване

В края на септември, екип на Google открива сериозна уязвимост в SSL 3.0 , която може да бъде използвана, за да открадне определена поверителна информация, като например бисквитки. Тази уязвимост, известен като "пудел", е подобен на BEAST атаката. Като използват тази уязвимост, атакуващият може да получи достъп до неща като пароли и бисквитки, което да му позволи да се получи достъп до данни частните потребителски акаунт на един сайт.

Всеки сайт, който поддържа SSLv3 е уязвим за пудел, дори ако тя също така подкрепя по-нови версии на TLS. По-специално, тези сървъри са обект на понижаване атака, в която триковете нападателя на браузъра в свързване с SSLv3. Това се основава на поведението на браузъри, наречени несигурен аварийната, където браузъри опитват да договарят по-ниски версии на TLS или SSL, когато връзките се провалят.

Днес, Firefox използва SSLv3 за само около 0.3% от HTTPS връзки. Това е един малък процент, но поради размера на мрежата, тя все още е в размер на милиони транзакции на ден.

Въздействие

Атаката пуделът може да се използва срещу всеки браузър или уеб сайт, който поддържа SSLv3. Това се отразява на всички настоящи браузъри и повечето сайтове. Както беше отбелязано по-горе, само 0,3% от сделките в действителност използват SSLv3. Въпреки че почти всички сайтове позволяват на връзките с SSLv3 да поддържат старите браузъри, тя рядко се използва, тъй като има много малко браузъри, които не поддържат по-нови версии на TLS.

Сайтове, които изискват SSLv3 ще продължават да са уязвими, докато не преминете към по-нова версия на TLS. Според измервания, провеждани от Mozilla и Университета на Мичиган , приблизително 0,42% от Alexa топ милиона домейна има някаква зависимост от SSLv3 (обикновено се дължи на поддомейн, изискваща SSLv3).

Статус

SSLv3 ще бъде изключена по подразбиране във Firefox 34 , която ще бъде пусната на 25 ноември . Код, за да деактивирате се приземи днес в Nightly, и ще бъде повишен в Aurora и Beta през следващите няколко седмици. Този момент е предназначен да позволи на собствениците на уеб сайтове от известно време, за да обновите всички сървъри, които все още разчитат на SSLv3.

Като допълнителна предпазна мярка, Firefox 35 ще подкрепи общ TLS защита механизъм понижаване известен като SCSV . Ако това се поддържа от сървъра, той предотвратява атаки, които разчитат на несигурни аварийната.

Допълнителни предпазни мерки

За потребителите на Firefox, най-простият начин да сте в безопасност е да се гарантира, че Firefox е конфигурирана да се актуализира автоматично. Погледни под Preferences / Advanced / обновяване и се уверете, че "инсталира автоматично актуализации" се проверяват.

За потребителите, които не искат да чакат до 25-ти ноември (когато SSLv3 е изключена по подразбиране във Firefox 34), която сме създали за SSL Version Control разширение Firefox, за да забраните SSLv3 веднага.

Оператори на уебсайтове трябва да оцени техните трафик сега и забраняване SSLv3 веднага след като вече не е необходима съвместимост с утвърдени клиенти. (Единствената останала браузър, който не поддържа TLSv1.0 е Internet Explorer 6). Препоръчваме след междинно ниво на конфигурация от сървъра на сайта насоки на Mozilla TLS .

Даваме си сметка, че много сайтове все още получават трафик от IE6 и не могат да блокират SSLv3 изцяло. Тези сайтове могат да имат за поддържане SSLv3 съвместимост, и трябва активно да насърчават своите потребители да мигрират към по-сигурен браузър възможно най-скоро.

https://blog.mozilla.org/security/2014/10/14/the-poodle-attack-a … e-end-of-ssl-3-0/

SSLv3 сега несигурни, и скоро ще бъде изключена по подразбиране.  В същото време, можете да използвате това разширение, за да изключите SSLv3 във вашето копие на Firefox. Когато инсталирате добавката, тя ще определи минималния TLS версия на TLS 1.0 (деактивиране SSLv3). Ако искате да промените тази настройка по-късно, като ако наистина имате нужда, за да получите достъп до сайта SSLv3, просто отидете на Tools / Добавки и щракнете върху бутона "Preferences" в непосредствена близост до добавката. Това ще ви даде падащото меню за избор на минималната TLS версия искате да разрешите. От версия 0.2, че тази добавка трябва да работи с всички Mozilla продукти, включително Firefox, Firefox за Android, Thunderbird и Seamonkey.