2Sep
Det er svært at indhente vores sind omkring alle disse internetkatastrofer, som de opstår, og ligesom vi troede, at internettet var sikkert igen efter at Heartbleed og Shellshock truede med at "afslutte livet som vi kender det", kommer ud af POODLE.
Må ikke blive forarbejdet, fordi det ikke er så truende som det lyder. Sandheden er, at det er et problem at bekymre sig om, men der er enkle trin, du kan tage for at beskytte dig selv.
Hvad er POODLE?
Lad os starte i stueetagen. Hvad er POODLE?For det første står det for " Padding Oracle On Nedgraderet Legacy Encryption ." Sikkerhedsproblemet er præcis det, navnet antyder, en nedgradering af protokoller, der gør det muligt at udnytte en forældet form for kryptering. Problemet kom til verdens opmærksomhed denne måned, da Google udgav et dokument kaldet "This POODLE Bites: Exploiting SSL 3.0 Fallback".
For at forklare dette i enklere termer, hvis en hacker, der anvender et Man-in-the-Middle-angreb, kan tage kontrol over en router på et offentligt hotspot, kan de tvinge din browser til at nedgradere til SSL 3.0( en ældre protokol) i stedet for at brugeden meget mere moderne TLS( Transport Layer Security) og derefter udnytte et sikkerhedshull i SSL til at kapre dine browser sessioner. Da dette problem er i protokollen, påvirkes alt, hvad der bruger SSL.
Så længe både serveren og klienten( webbrowser) understøtter SSL 3.0, kan angriberen tvinge en nedgradering i protokollen, så selv om din browser forsøger at bruge TLS, slutter det at blive tvunget til at bruge SSL i stedet. Det eneste svar er for begge sider eller begge sider at fjerne support til SSL, og fjerne muligheden for at blive nedgraderet.
Hvis du primært søger hjemmefra og ikke bruger offentlige hotspots, er potentialet for skade ret lavt, og du kan bare tage de nemme trin, der skitseres senere i artiklen for at beskytte dig selv. Hvis du ofte bruger et offentligt hotspot, kan det være på tide at tænke på at bruge en VPN.
Hvordan kan vi løse problemet?
Da det ikke er muligt at løse problemerne med SSL, er den eneste løsning for browsere og webservere at opgradere alt for at fjerne support til SSL og kræver kun TLS-kryptering.
Google og Firefox har allerede annonceret, at de vil fjerne support i fremtiden, og mens vi endnu ikke har hørt det samme fra Microsoft, er det meget nemt som en slutbruger at deaktivere SSL 3.0 i IE.De fleste af de store webfirmaer fjerner support til SSL, efter at dette problem blev opdaget, men det tager et stykke tid for alle at gøre det.
Som forbruger kan du fjerne support til SSL fra din browser ved hjælp af en af metoderne nedenfor - eller hvis du bruger Firefox eller Google Chrome og ikke bruger hotspots hele tiden, kan du vente på, at de opdaterer browseren. Eller du kan sørge for, at du selv har løst problemet.
Deaktivering af SSL 3.0 i Mozilla Firefox
Hvis du er en Mozilla Firefox-bruger, vil dine SSL 3.0-bekymringer blive lagt i seng den 25. november 2014, når Fireox 34 frigives. Det ene problem med dette er, at det endnu ikke er november, og du skal træffe foranstaltninger for at beskytte dig selv nu. Start med at åbne din Firefox-browser og navigere til SSL Version Control download siden i Firefox.
Når det er blevet installeret, kan du indtaste "om: addons" i navigationslinjen og vælge "SSL Version Control" udvidelsen. Du kan klikke på "Valg" for at se indstillingerne for udvidelsen. Sørg for, at de "Automatiske opdateringer" er tændt, og at "Minimum SSL Version" er sat til "TLS 1.0"
Når Firefox 34 er blevet frigivet, kan du være velkommen til at deaktivere udvidelsen eller afinstallere den.
Deaktivering af SSL 3.0 i Google Chrome
Hvis du er en Google Chrome-bruger, kan du være sikker på, at SSL 3.0 bliver deaktiveret i de kommende måneder, selv om de endnu ikke har angivet en dato. Hvis du vil beskytte dig selv nu, kan det gøres i et par enkle trin. Du skal bare gå til dit Google Chrome-skrivebordsikon og højreklikke på det og vælg derefter "Egenskaber" nederst i pop op-menuen.
I vinduet "Egenskaber" vil du se en tekstindtastningsboks, der siger "Mål". Klik blot i denne boks og tryk på "Afslut" -knappen på tastaturet. Tryk derefter på "mellemrumstasten" og kopier og indsæt denne tekst på enden.
--ssl-version-min = tls1Tryk på "Apply" og klik derefter på "Fortsæt" i popup-vinduet og tryk derefter på "OK".
Nu vil din browser automatisk afvise SSL 3.0-certifikater og acceptere kun TLS 1.0 og højere. Det er værd at bemærke, at hvis du starter Chrome via en anden genvej på din computer, bruger den ikke dette flag.
Deaktivering af SSL 3.0 i Internet Explorer
Microsoft har endnu ikke annonceret, når de planlægger at løse problemet SSL 3.0, så det er bedst at deaktivere det selv ved at åbne din "Start" -menu og skrive i "Internet-indstillinger."
Gå tilFanen "Avanceret" og rul ned til sektionen "Sikkerhed", indtil du ser SSL- og TLS-indstillingerne, og fjern derefter afkrydsningsfeltet for Brug SSL 3.0 og aktiver TLS i stedet.
På den måde kan du være sikker på, at dine internetbrowsere er sikre på alle mulige POODLE-angreb.
Billedkredit: Karen on Flickr