Jaká je bezpečnostní chyba a jak se můžeš chránit?

Je těžké zabalit naše myšlenky kolem všech těchto internetových katastrof, jak se vyskytují, a stejně jako jsme si mysleli, že internet je bezpečný znovu poté, co Heartbleed a Shellshock hrozí, že "ukončí život, jak to víme," přijde POODLE.

Nebuďte příliš zpracováni, protože to není tak hrozivé, jak to zní.Pravdou je, že se jedná o problém, který je třeba věnovat, ale existují jednoduché kroky, které můžete podniknout, abyste se chránili.

Co je POODLE?

Začneme v přízemí.Co je POODLE?Nejprve to znamená " Padding Oracle On Downgraded Legacy Encryption ." Problém zabezpečení je přesně to, co název napovídá, downgradu protokolu, který umožňuje zneužívání v zastaralé formě šifrování.Tento problém se dostal do pozornosti světa tento měsíc, když Google vydal papír s názvem "Tento POODLE Bites: Využívání SSL 3.0 Fallback".

Chcete-li to vysvětlit jednodušeji, jestliže útočník, který používá útok Man-In-The-Middle, může převzít kontrolu nad směrovačem na veřejné hotspot, může přinutit váš prohlížeč k přechodu na SSL 3.0( starší protokol) namísto použitímnohem modernější TLS( Transport Layer Security), a pak využít bezpečnostní díru v SSL k únosu vašich relací prohlížeče. Vzhledem k tomu, že tento problém je v protokolu, je ovlivněno vše, co používá protokol SSL.

Pokud server i klient( webový prohlížeč) podporují protokol SSL 3.0, může útočník v protokolu vynutit downgrade, takže i v případě, že se váš prohlížeč pokusí používat TLS, bude místo toho nucen používat SSL.Jedinou odpovědí je odstranění podpory pro SSL pro obě strany nebo pro obě strany, čímž se odstraní možnost downgradování.

Pokud primárně procházíte z domova a nepoužíváte veřejné hotspoty, potenciální poškození je poměrně nízké a vy můžete jednoduše učinit jednoduché kroky popsané později v článku, abyste se ochránili. Pokud často používáte veřejnou hotspot, může být čas přemýšlet o použití VPN.

Jak můžeme vyřešit problém?

Vzhledem k tomu, že neexistuje žádný způsob, jak vyřešit problémy s protokolem SSL, jediným řešením je, aby si výrobci prohlížečů a weboví servery vylepšili vše pro odstranění podpory pro SSL a vyžadovaly pouze šifrování TLS.

Google a Firefox již oznámili, že budou v budoucnu odstraňovat podporu a zatímco jsme Microsoft ještě( dosud) neslyšeli to samé, je to extrémně snadné, protože koncový uživatel zakáže protokol SSL 3.0 v IE.Většina velkých webových firem odstraňuje podporu SSL poté, co tento problém vyšel na světlo, ale bude to chvíli trvat, než to učiní každý.

Jako zákazník můžete z vašeho prohlížeče odstranit podporu SSL pomocí jedné z níže uvedených metod - nebo pokud používáte prohlížeč Firefox nebo Google Chrome a nepoužíváte hotspoty po celou dobu, můžete čekat na aktualizaci prohlížeče. Nebo se můžete ujistit, že jste problém vyřešili sami.

Vypnutí protokolu SSL 3.0 v Mozilla Firefoxu

Pokud jste uživatel Mozilla Firefox, vaše obavy z SSL 3.0 budou spánkovány 25. listopadu 2014, kdy bude Fireox 34 propuštěn. Jediným problémem je, že ještě není listopad a je třeba podniknout kroky k ochraně.Začněte tím, že otevřete prohlížeč prohlížeče Firefox a přejdete na stránku pro stahování ovládacího prvku SSL ve Firefoxu.

Po úspěšném instalaci můžete do navigačního panelu zadat "About: addons" a zvolit rozšíření "Control Verze SSL".Klepnutím na tlačítko "Možnosti" můžete zobrazit nastavení rozšíření.Ujistěte se, že jsou zapnuty funkce "Automatické aktualizace" a že "Minimální verze SSL" je nastavena na hodnotu "TLS 1.0"

Po uvolnění Firefoxu 34 můžete zdarma povolit nebo odinstalovat rozšíření.

Vypnutí protokolu SSL 3.0 v prohlížeči Google Chrome

Pokud jste uživatelem prohlížeče Google Chrome, můžete si být jisti, že v příštích měsících bude protokol SSL 3.0 deaktivován, přestože dosud nezadali datum. Pokud se chcete nyní chránit, může to být provedeno v několika jednoduchých krocích. Jednoduše přejděte na ikonu pracovní plochy Google Chrome a klikněte pravým tlačítkem myši na něj a poté vyberte v dolní části rozbalovací nabídky položku "Vlastnosti".

V okně "Vlastnosti" uvidíte pole pro zadávání textu s názvem "Cíl". Stačí kliknout na toto pole a stisknout tlačítko "Konec" na klávesnici. Poté stiskněte "Mezerník" a zkopírujte a vložte tento text na konec.

--ssl-version-min = tls1

Stiskněte tlačítko "Apply" a potom klikněte na "Continue" v rozbalovacím okně a stiskněte tlačítko "OK".

Nyní váš prohlížeč automaticky odmítne certifikáty SSL 3.0 a přijme pouze TLS 1.0 a vyšší.Stojí za to poznamenat, že pokud spustíte Chrome přes libovolný jiný zástupce v počítači, nebude tento příznak používat.

Vypnutí protokolu SSL 3.0 v aplikaci Internet Explorer

Společnost Microsoft dosud neoznámila, kdy plánuje řešit problém s protokolem SSL 3.0, takže je nejlepší ji zakázat otevřením nabídky "Start" a zadáním možnosti "Možnosti Internetu".

Přejděte na položkuKartu "Pokročilé" a přejděte dolů na část "Zabezpečení", dokud neuvidíte možnosti SSL a TLS, a poté zrušte zaškrtnutí volby Použití protokolu SSL 3.0 a místo toho povolte protokol TLS.

Tímto způsobem si můžete být jisti, že vaše internetové prohlížeče jsou v bezpečí před případnými útoky POODLE.Obrázek

: Karen na Flickr