Je těžké zabalit naši mysl kolem všech těchto internetových katastrof, jak k nim dochází, a tak, jak jsme si mysleli, že internet je opět bezpečný, poté, co Heartbleed a Shellshock pohrozili „ukončením života, jak ho známe,“ vyjde POODLE.
Nedělejte si příliš práce, protože to není tak hrozivé, jak to zní. Pravdou je, že je třeba se jím zabývat, ale můžete se chránit jednoduchými kroky.
Co je POODLE?
Začněme v přízemí. Co je POODLE? Nejprve to znamená „ Výplň Oracle na downgradované starší šifrování . “ Problém zabezpečení je přesně to, co název napovídá, downgrade protokolu, který umožňuje zneužít zastaralou formu šifrování. Tato otázka se do pozornosti světa dostala tento měsíc, když Google vydal dokument s názvem „This POODLE Bites: Exploiting the SSL 3.0 Fallback“.
PŘÍBUZNÝ: Jak se připojit k VPN v systému Windows
Abychom to vysvětlili jednodušeji, pokud může útočník využívající útok Man-In-The-Middle převzít kontrolu nad směrovačem na veřejném hotspotu, může vynutit, aby váš prohlížeč místo použití protokolu SSL 3.0 (starší protokol) mnohem modernější TLS (Transport Layer Security), a poté využijte bezpečnostní díru v SSL k únosu relací vašeho prohlížeče. Protože je tento problém v protokolu, je ovlivněno vše, co používá SSL.
Pokud server i klient (webový prohlížeč) podporují SSL 3.0, může útočník vynutit downgrade protokolu, takže i když se váš prohlížeč pokusí použít TLS, nakonec bude nucen místo toho použít SSL. Jedinou odpovědí je odstranění podpory protokolu SSL na obou stranách nebo na obou stranách, čímž se odstraní možnost snížení úrovně.
Pokud primárně procházíte z domova a nepoužíváte veřejné hotspoty, potenciál poškození je poměrně nízký a můžete se jednoduše chránit jednoduchými kroky popsanými dále v článku. Pokud často používáte veřejný hotspot, může být čas přemýšlejte o použití VPN .
Jak můžeme vyřešit problém?
Protože neexistuje žádný způsob, jak vyřešit problémy s SSL, jediným řešením je, aby tvůrci prohlížečů a webové servery vše upgradovali, aby odebrali podporu SSL a vyžadovali pouze šifrování TLS.
Google a Firefox již oznámily, že v budoucnu budou podporu odstraňovat, a přestože (dosud) jsme to od Microsoftu neslyšeli, je jako koncový uživatel zakázat SSL 3.0 v IE extrémně snadno. Poté, co tento problém vyšel najevo, většina velkých webových společností odstraňuje podporu SSL, ale všem to bude chvíli trvat.
Jako spotřebitel můžete z vašeho prohlížeče odebrat podporu SSL pomocí jedné z níže uvedených metod - nebo pokud používáte Firefox nebo Google Chrome a nepoužíváte hotspoty po celou dobu, můžete počkat, než prohlížeč aktualizují. Nebo se můžete ujistit, že jste problém vyřešili sami.
Zakázání SSL 3.0 v Mozilla Firefox
Pokud jste uživatelem Mozilla Firefox, vaše obavy týkající se SSL 3.0 budou uloženy do postele 25. listopadu 2014, kdy bude vydán Fireox 34. Jediným problémem je to, že ještě není listopad a je třeba podniknout kroky, abyste se hned chránili. Začněte otevřením prohlížeče Firefox a přechodem na Kontrola verze SSL stránka ke stažení ve Firefoxu.
Po úspěšné instalaci můžete do navigační lišty zadat „about: addons“ a vybrat rozšíření „SSL Version Control“. Kliknutím na „Možnosti“ zobrazíte nastavení rozšíření. Ujistěte se, že jsou zapnuty „Automatické aktualizace“ a že „Minimální verze SSL“ je nastavena na „TLS 1.0“
Po vydání Firefoxu 34 můžete rozšíření deaktivovat nebo odinstalovat.
Zakázání protokolu SSL 3.0 v prohlížeči Google Chrome
Pokud jste uživatelem Google Chrome, můžete si být jisti, že protokol SSL 3.0 bude v nadcházejících měsících deaktivován, přestože ještě nenastavili datum. Pokud se chcete nyní chránit, lze to provést několika jednoduchými kroky. Jednoduše přejděte na ikonu Google Chrome na ploše a klikněte na ni pravým tlačítkem myši, poté vyberte „Vlastnosti“ v dolní části rozbalovací nabídky.
V okně „Vlastnosti“ uvidíte pole pro zadávání textu s názvem „Cíl“. Jednoduše klikněte do tohoto pole a stiskněte na klávesnici tlačítko „Konec“. Poté stiskněte mezerník a tento text zkopírujte a vložte na konec.
--ssl-version-min = tls1
Stiskněte „Použít“, poté klikněte na „Pokračovat“ ve vyskakovacím okně a poté stiskněte „OK“.
Nyní váš prohlížeč automaticky odmítne certifikáty SSL 3.0 a přijme pouze TLS 1.0 a vyšší. Stojí za zmínku, že pokud spustíte Chrome pomocí jiné zkratky v počítači, nebude tento příznak používat.
Zakázání protokolu SSL 3.0 v aplikaci Internet Explorer
Společnost Microsoft zatím neoznámila, kdy plánuje vyřešit problém s SSL 3.0, takže je nejlepší ji deaktivovat sami otevřením nabídky „Start“ a zadáním „Možnosti Internetu“.
Přejděte na kartu „Pokročilé“ a přejděte dolů do sekce „Zabezpečení“, dokud neuvidíte možnosti SSL a TLS. Potom zrušte zaškrtnutí možnosti Použít SSL 3.0 a místo toho povolte TLS.
Tímto způsobem si můžete být jisti, že všechny vaše internetové prohlížeče jsou zabezpečené před potenciálními útoky POODLE.
Kredit obrázku: Karen na Flickru
