Qual è la vulnerabilità di POODLE e come puoi proteggerti?

È difficile avvolgere le nostre menti attorno a tutte queste catastrofi Internet mentre si verificano, e proprio quando pensavamo che Internet fosse di nuovo protetto dopo che Heartbleed e Shellshock avevano minacciato di "mettere fine alla vita così come la conosciamo", viene fuori POODLE.

Non ti agitare troppo perché non è così minaccioso come sembra. La verità è che si tratta di un problema, ma ci sono dei semplici passaggi da seguire per salvaguardare te stesso.

Che cos'è POODLE?

Iniziamo dal piano terra. Cos'è il POODLE?Prima di tutto, sta per " Padding Oracle On Downgraded Legacy Encryption ". Il problema di sicurezza è esattamente quello che suggerisce il nome, un downgrade del protocollo che consente exploit su una forma obsoleta di crittografia. Il problema è arrivato all'attenzione del mondo questo mese, quando Google ha rilasciato un documento intitolato "Questo morso di POODLE: sfruttamento del fallback SSL 3.0".

Per spiegare questo in termini più semplici, se un utente malintenzionato che utilizza un attacco Man-In-The-Middle può assumere il controllo di un router in un hotspot pubblico, può forzare il browser a eseguire il downgrade a SSL 3.0( un protocollo precedente) anziché utilizzareil molto più moderno TLS( Transport Layer Security), e quindi sfruttare un buco di sicurezza in SSL per dirottare le sessioni del browser. Poiché questo problema è nel protocollo, tutto ciò che utilizza SSL è interessato.

Finché sia ​​il server che il client( browser Web) supportano SSL 3.0, l'utente malintenzionato può forzare un downgrade nel protocollo, quindi, anche se il browser tenta di utilizzare TLS, finisce per essere costretto a utilizzare SSL.L'unica risposta è per entrambi i lati o entrambi i lati per rimuovere il supporto per SSL, eliminando la possibilità di essere declassati.

Se navighi principalmente da casa e non usi hotspot pubblici, il potenziale di danno è piuttosto basso, e puoi semplicemente prendere le semplici misure descritte più avanti nell'articolo per proteggerti. Se utilizzi spesso un hotspot pubblico, potrebbe essere il momento di pensare all'utilizzo di una VPN.

Come possiamo risolvere il problema?

Poiché non c'è modo di risolvere i problemi con SSL, l'unica soluzione è che i produttori di browser e i server Web aggiornino tutto per rimuovere il supporto per SSL e richiedano solo la crittografia TLS.

Google e Firefox hanno già annunciato che rimuovono il supporto in futuro, e mentre non abbiamo( ancora) sentito lo stesso da Microsoft, è estremamente facile come utente finale disabilitare SSL 3.0 in IE.La maggior parte delle grandi aziende web stanno rimuovendo il supporto per SSL dopo che questo problema è venuto alla luce, ma ci vorrà un po 'di tempo prima che tutti lo facciano.

In qualità di consumatore, puoi rimuovere il supporto per SSL dal tuo browser utilizzando uno dei metodi descritti di seguito - oppure se utilizzi Firefox o Google Chrome e non utilizzi sempre hotspot, puoi attendere che aggiornino il browser. O puoi assicurarti di aver risolto il problema tu stesso.

Disabilitazione di SSL 3.0 in Mozilla Firefox

Se sei un utente di Mozilla Firefox, i tuoi problemi con SSL 3.0 verranno messi a letto il 25 novembre 2014 quando verrà rilasciato Fireox 34.L'unico problema è che non è ancora novembre e devi agire per proteggerti ora. Inizia aprendo il browser Firefox e navigando verso la pagina di download di Controllo versione SSL in Firefox.

Una volta installato correttamente, è possibile inserire "about: addons" nella barra di navigazione e selezionare l'estensione "Controllo versione SSL".È possibile fare clic su "Opzioni" per vedere le impostazioni per l'estensione. Assicurati che gli "Aggiornamenti automatici" siano attivi e che la "Versione minima SSL" sia impostata su "TLS 1.0"

Dopo che è stato rilasciato Firefox 34, puoi tranquillamente disabilitare l'estensione o disinstallarla.

Disabilitazione di SSL 3.0 in Google Chrome

Se sei un utente Google Chrome, puoi essere certo che lo SSL 3.0 sarà disabilitato nei prossimi mesi, anche se non hanno ancora impostato una data. Se vuoi proteggere te stesso ora, può essere fatto in pochi semplici passaggi. Vai semplicemente sull'icona del tuo desktop Google Chrome e fai clic con il pulsante destro su di esso, quindi seleziona "Proprietà" nella parte inferiore del menu popup.

Nella finestra "Proprietà" vedrai una casella di testo che dice "Target". Fai semplicemente clic in questa casella e premi il pulsante "Fine" sulla tastiera. Quindi, premi la "barra spaziatrice" e copia e incolla questo testo alla fine.

--ssl-version-min = tls1

Premere "Applica" quindi fare clic su "Continua" nella finestra popup quindi premere "OK".

Ora il tuo browser rifiuterà automaticamente i certificati SSL 3.0 e accetterà solo TLS 1.0 e versioni successive. Vale la pena notare che se si avvia Chrome tramite qualsiasi altro collegamento sul computer, non verrà utilizzato questo flag.

Disabilitazione di SSL 3.0 in Internet Explorer

Microsoft non ha ancora annunciato quando ha intenzione di risolvere il problema di SSL 3.0, quindi è meglio disabilitarlo aprendo il menu "Start" e digitando "Opzioni Internet".

Vai alScheda "Avanzate" e scorri verso il basso fino alla sezione "Sicurezza" finché non visualizzi le opzioni SSL e TLS, quindi deseleziona l'opzione per Usa SSL 3.0 e abilita invece TLS.

In questo modo puoi essere sicuro che i tuoi browser Internet sono protetti da eventuali attacchi POODLE.

Image Credit: Karen su Flickr