2Sep
Raske on meeles pidada kõigi nende Interneti-katastroofide pärast, nagu need tekkisid, ja nagu me arvasime, et Internet on taas turvaline pärast Heartbleedi ja Shellshock ähvardas "lõpetada elu, nagu me seda teame", on POODLE.
Ärge liiga tötatud, sest see ei ole nii ähmane, kui kõlab. Tõde on see, et tegemist on probleemiga, kuid endas on lihtsad sammud enese kaitsmiseks.
Mis on POODLE?
Alustame esimesel korrusel. Mis on POODLE?Kõigepealt tähendab see " Padding Oracle Downgraded Legacy Encryption -s." Turvaprobleem on täpselt nimigi ütleb: protokolli alandamine, mis võimaldab ära kasutada vananenud krüptimise vormi. Sellel kuul tõusis probleem maailmas tähelepanu, kui Google avaldas paberi nimega "See POODLE bites: SSL 3.0 taandariba kasutamine".
Selle seletuseks on lihtsamalt öeldud, et kui ründaja, kes kasutab Man-In-The-Middle rünnakut, saab avaliku leviala kaudu ruuteri üle kontrolli, võib see sundida brauserit kasutama SSL 3.0-le( vanem protokoll)palju kaasaegsemat TLS-i( Transport Layer Security) ja seejärel kasutage SSL-i turvaauku, et oma brauseri seansid petta. Kuna see probleem on protokollis, mõjutab see midagi, mis kasutab SSL-i.
Kui server ja klient( veebibrauser) toetavad SSL 3.0-d, võib ründaja protokolli alandada, nii et isegi siis, kui teie brauser proovib TLS-i kasutada, on selle asemel kohustatud kasutama SSL-i. Ainus vastus on mõlema poole või mõlema poole poolt SSL-i toe eemaldamine, kui eemaldatakse võimalus alandada.
Kui te sirvite peamiselt kodust ja ei kasuta avaliku leviala, on kahju tekkimise võimalus üsna väike ning võite lihtsalt ennast kaitsta, et järgida artikleid hiljem. Kui kasutate tihti avalikku leviala, võib olla aeg mõelda VPN-i kasutamisele.
Kuidas me lahendame probleemi?
Kuna SSL-ga seotud probleemide lahendamiseks pole kuidagi võimalik, on brauserite ja veebiserverite jaoks ainus lahendus, mille abil saab kõik SSL-i tugiteenuste eemaldamiseks ja ainult TLS-i krüptimiseks nõuda.
Google ja Firefox on juba teatanud, et nad eemaldavad tulevikus abi, ja kuigi me pole( veel) Microsoftiga sama kuulnud, on lõppkasutaja väga lihtne keelata IE-is SSL 3.0.Enamik suured veebiettevõtted eemaldavad SSL-i tugi pärast selle probleemi ilmnemist, kuid kõigile läheb see kaua aega.
Tarbijana saate oma brauserilt SSL-i tugiteenuse eemaldada, kasutades ühte allpool kirjeldatud meetoditest - või kui kasutate Firefoxi või Google Chrome'i ja te ei kasuta pidevalt leviala, võite oodata, kuni nad värskendavad brauserit. Või saate veenduda, et olete probleemi ise lahendanud.
Mozilla Firefoxi SSL 3.0 väljalülitamine
Kui olete Mozilla Firefoxi kasutaja, langevad teie SSL 3.0 probleemid 25. novembril 2014, kui Fireox 34 vabastatakse.Üks probleem on see, et see pole veel novembris ja peate tegutsema, et end kaitsta. Alusta oma Firefoxi brauseri avamisega ja Firefoxi SSL Version Control allalaadimislehe sirvimisega.
Kui see on edukalt installitud, võite sisestada "about: addons" navigatsiooniribale ja valida laiend "SSL Version Control".Laienduse seadete nägemiseks võite klõpsata "Valikud".Veenduge, et "Automaatvärskendused" on sisse lülitatud ja "Minimaalne SSL versioon" on seatud "TLS 1.0"
. Pärast Firefox 34 vabastamist võite vabalt laienduse keelata või selle desinstallida.
Google Chrome'i SSL 3.0 väljalülitamine
Kui olete Google Chrome'i kasutaja, võite olla kindel, et SSL 3.0 on eelseisvate kuude ajal keelatud, kuigi nad ei ole veel kuupäeva määranud. Kui soovite end kaitsta, saab seda teha mõne lihtsa sammuga. Lihtsalt minge oma Google Chrome'i töölauaikoonile ja paremklõpsake seda, seejärel valige hüpikmenüü alaosas "Atribuudid".
Aknas "Properties"( "Atribuudid") näete tekstisisestust "Target". Lihtsalt klõpsake selles kastis ja vajutage klaviatuuril nuppu "End".Järgmiseks vajutage "tühikut" ja kopeeri ja kleepige see tekst lõpuni.
--ssl-version-min = tls1Vajuta "Apply", seejärel klõpsake hüpikaknas "Continue", seejärel vajutage "OK".
Nüüd blokeerib teie brauser automaatselt SSL 3.0-sertifikaadid ja aktsepteerib ainult TLS 1.0 ja uuemat versiooni. Väärib märkimist, et kui käivitate Chrome'i mis tahes muu otsetee abil oma arvutis, siis seda lippu ei kasutata.
Internet Exploreri
SSL-i 3.0 väljalülitamine Microsoft ei ole veel teatanud, kui nad kavatsevad SSL-i 3.0 probleemi lahendada, nii et kõige parem oleks see ise keelata, avamisel oma menüü Start ja sisestades "Internet Options".
AvaKlõpsake vahekaarti "Täpsem" ja kerige sektsiooni "Turvalisus" all, kuni näete SSL-i ja TLS-i suvandeid, seejärel tühistage SSL-i 3.0 kasutamine ja lülitage sisse TLS-i.
Nii saate olla kindel, et teie Interneti-brauserid on kõik POODLE-i võimalike rünnakute eest kaitstud.
pildikrediit: Karen Flickril