È difficile comprendere tutte queste catastrofi di Internet nel momento in cui si verificano, e proprio come pensavamo che Internet fosse di nuovo al sicuro dopo che Heartbleed e Shellshock hanno minacciato di "porre fine alla vita come la conosciamo", esce POODLE.
Non agitarti troppo perché non è così minaccioso come sembra. La verità è che è un problema di cui preoccuparsi, ma ci sono semplici passaggi che puoi adottare per salvaguardarti.
Cos'è il barboncino?
Cominciamo dal piano terra. Cos'è il barboncino? Prima di tutto, sta per " Riempimento di Oracle sulla crittografia legacy ridotta . " Il problema di sicurezza è esattamente quello che suggerisce il nome, un downgrade del protocollo che consente gli exploit su una forma di crittografia obsoleta. Il problema è giunto all'attenzione del mondo questo mese quando Google ha pubblicato un documento intitolato "This POODLE Bites: Exploiting The SSL 3.0 Fallback".
RELAZIONATO: Come connettersi a una VPN in Windows
Per spiegare questo in termini più semplici, se un utente malintenzionato che utilizza un attacco Man-In-The-Middle può assumere il controllo di un router in un hotspot pubblico, può forzare il tuo browser a eseguire il downgrade a SSL 3.0 (un protocollo precedente) invece di utilizzare il TLS (Transport Layer Security) molto più moderno e quindi sfruttare una falla di sicurezza in SSL per dirottare le sessioni del browser. Poiché questo problema è nel protocollo, tutto ciò che utilizza SSL è interessato.
Finché sia il server che il client (browser web) supportano SSL 3.0, l'attaccante può forzare un downgrade del protocollo, quindi anche se il tuo browser tenta di utilizzare TLS, finisce per essere costretto a utilizzare invece SSL. L'unica risposta è che una delle parti o entrambe le parti rimuovano il supporto per SSL, eliminando la possibilità di essere declassati.
Se navighi principalmente da casa e non utilizzi hotspot pubblici, il potenziale di danno è piuttosto basso e puoi semplicemente seguire i semplici passaggi descritti più avanti nell'articolo per proteggerti. Se utilizzi spesso un hotspot pubblico, potrebbe essere il momento di farlo pensa all'utilizzo di una VPN .
Come possiamo risolvere il problema?
Poiché non c'è modo di risolvere i problemi con SSL, l'unica soluzione è che i produttori di browser e i server web aggiornino tutto per rimuovere il supporto per SSL e richiedono solo la crittografia TLS.
Google e Firefox hanno già annunciato che rimuoveranno il supporto in futuro e, anche se non abbiamo (ancora) sentito lo stesso da Microsoft, è estremamente facile come utente finale disabilitare SSL 3.0 in IE. La maggior parte delle grandi società web sta rimuovendo il supporto per SSL dopo che questo problema è emerso, ma ci vorrà del tempo prima che tutti lo facciano.
In qualità di consumatore, puoi rimuovere il supporto per SSL dal tuo browser utilizzando uno dei metodi descritti di seguito oppure, se utilizzi Firefox o Google Chrome e non utilizzi sempre gli hotspot, potresti attendere che aggiornino il browser. Oppure puoi assicurarti di aver risolto il problema da solo.
Disattivazione di SSL 3.0 in Mozilla Firefox
Se sei un utente Mozilla Firefox, le tue preoccupazioni relative a SSL 3.0 verranno eliminate il 25 novembre 2014 quando verrà rilasciato Fireox 34. L'unico problema è che non è ancora novembre e devi agire per proteggerti ora. Inizia aprendo il tuo browser Firefox e navigando su SSL Version Control pagina di download in Firefox.
Quando è stato installato con successo, puoi inserire "about: addons" nella barra di navigazione e selezionare l'estensione "SSL Version Control". È possibile fare clic su "Opzioni" per visualizzare le impostazioni per l'estensione. Assicurati che gli "Aggiornamenti automatici" siano attivi e che la "Versione SSL minima" sia impostata su "TLS 1.0"
Dopo che Firefox 34 è stato rilasciato, puoi sentirti libero di disabilitare l'estensione o disinstallarla.
Disattivazione di SSL 3.0 in Google Chrome
Se sei un utente di Google Chrome, puoi essere certo che SSL 3.0 sarà disabilitato nei prossimi mesi, anche se non hanno ancora fissato una data. Se vuoi proteggerti ora, puoi farlo in pochi semplici passaggi. Basta andare sull'icona del desktop di Google Chrome e fare clic con il pulsante destro del mouse su di essa, quindi selezionare "Proprietà" nella parte inferiore del menu popup.
Nella finestra "Proprietà" vedrai una casella di immissione di testo che dice "Destinazione". Basta fare clic in questa casella e premere il pulsante "Fine" sulla tastiera. Quindi, premere la "Barra spaziatrice" e copiare e incollare questo testo alla fine.
--ssl-version-min=tls1
Premere "Applica", quindi fare clic su "Continua" nella finestra popup, quindi premere "OK".
Ora il tuo browser rifiuterà automaticamente i certificati SSL 3.0 e accetterà solo TLS 1.0 e versioni successive. Vale la pena notare che se avvii Chrome tramite qualsiasi altra scorciatoia sul tuo computer, non utilizzerà questo flag.
Disattivazione di SSL 3.0 in Internet Explorer
Microsoft non ha ancora annunciato quando intende risolvere il problema di SSL 3.0, quindi è meglio disabilitarlo da solo aprendo il menu "Start" e digitando "Opzioni Internet".
Vai alla scheda "Avanzate" e scorri verso il basso fino alla sezione "Sicurezza" fino a visualizzare le opzioni SSL e TLS, quindi deseleziona l'opzione per Usa SSL 3.0 e abilita invece TLS.
In questo modo puoi essere certo che i tuoi browser Internet siano tutti al sicuro da eventuali potenziali attacchi di POODLE.
Credito immagine: Karen su Flickr
