Hvad er POODLE-sårbarhed, og hvordan kan du beskytte dig selv?
Det er svært at indhente vores sind omkring alle disse internetkatastrofer, som de opstår, og ligesom vi troede, at internettet var sikkert igen efter at Heartbleed og Shellshock truede med at "afslutte livet som vi kender det", kommer POODLE.
Bliv ikke for oparbejdet, fordi det ikke er så truende som det lyder. Sandheden er, at det er et problem at bekymre sig om, men der er enkle trin, du kan tage for at beskytte dig selv.
Hvad er POODLE?
Lad os starte i stueetagen. Hvad er POODLE? For det første står det for "Padding Oracle på nedgraderet legacy kryptering."Sikkerhedsproblemet er præcis det, som navnet antyder, en nedgradering af protokollen, der tillader udnyttelser på en forældet form for kryptering. Problemet kom til verdens opmærksomhed denne måned, da Google udgav et dokument kaldet "This POODLE Bites: Exploiting SSL 3.0 Fallback".
For at forklare dette i enklere vilkår, kan en angriber, der anvender et Man-in-The-Middle-angreb, tage kontrol over en router på et offentligt hotspot, så de kan tvinge din browser til at nedgradere til SSL 3.0 (en ældre protokol) i stedet for at bruge meget mere moderne TLS (Transport Layer Security), og udnyt derefter et sikkerhedshull i SSL for at kapre dine browsersessioner. Da dette problem er i protokollen, påvirkes alt, hvad der bruger SSL.
Så længe både serveren og klienten (webbrowser) understøtter SSL 3.0, kan angriberen tvinge en nedgradering i protokollen, så selv om din browser forsøger at bruge TLS, slutter det at blive tvunget til at bruge SSL i stedet. Det eneste svar er for begge sider eller begge sider at fjerne support til SSL, og fjerne muligheden for at blive nedgraderet.
Hvis du primært søger hjemmefra og ikke bruger offentlige hotspots, er potentialet for skade ret lavt, og du kan bare tage de nemme trin, der skitseres senere i artiklen for at beskytte dig selv. Hvis du ofte bruger et offentligt hotspot, kan det være på tide at tænke på at bruge en VPN.
Hvordan kan vi løse problemet?
Da der ikke er nogen måde at løse problemerne med SSL, er den eneste løsning for browsere og webservere at opgradere alt for at fjerne support til SSL og kræver kun TLS-kryptering.
Google og Firefox har allerede meddelt, at de vil fjerne support i fremtiden, og mens vi endnu ikke har hørt det samme fra Microsoft, er det meget nemt som en slutbruger at deaktivere SSL 3.0 i IE. De fleste af de store webfirmaer fjerner support til SSL, efter at dette problem kom til lys, men det tager et stykke tid for alle at gøre det.
Som forbruger kan du fjerne support til SSL fra din browser ved hjælp af en af nedenstående metoder - eller hvis du bruger Firefox eller Google Chrome og ikke bruger hotspots hele tiden, kan du vente på, at de opdaterer browseren. Eller du kan sørge for, at du selv har løst problemet.
Deaktivering af SSL 3.0 i Mozilla Firefox
Hvis du er en Mozilla Firefox-bruger, vil dine SSL 3.0-bekymringer blive lagt i seng den 25. november 2014, når Fireox 34 frigives. Det ene problem med dette er, at det endnu ikke er november, og du skal træffe foranstaltninger for at beskytte dig selv nu. Start med at åbne din Firefox-browser og navigere til SSL Version Control download siden i Firefox.
Når det er blevet installeret, kan du angive "om: addons" i navigationslinjen og vælge "SSL Version Control" -udvidelsen. Du kan klikke på "Valg" for at se indstillingerne for udvidelsen. Sørg for, at de "Automatiske opdateringer" er tændt, og at "Minimum SSL Version" er indstillet til "TLS 1.0"
Når Firefox 34 er blevet frigivet, kan du være velkommen til at deaktivere udvidelsen eller afinstallere den.
Deaktivering af SSL 3.0 i Google Chrome
Hvis du er en Google Chrome-bruger, kan du være sikker på, at SSL 3.0 bliver deaktiveret i de kommende måneder, selv om de endnu ikke har angivet en dato. Hvis du vil beskytte dig selv nu, kan det ske i et par enkle trin. Du skal bare gå til dit Google Chrome-skrivebordsikon og højreklikke på det og vælg derefter "Egenskaber" nederst i pop op-menuen.
I vinduet "Egenskaber" vil du se en tekstindtastningsboks, der siger "Mål". Du skal blot klikke i denne boks og trykke på "Afslut" -knappen på tastaturet. Tryk derefter på "mellemrumstasten" og kopier og indsæt denne tekst på enden.
--ssl-versionen-min = tls1
Tryk på "Anvend" og klik derefter på "Fortsæt" i popup-vinduet, og tryk derefter på "OK".
Nu afviser din browser automatisk SSL 3.0-certifikater og accepterer kun TLS 1.0 og højere. Det er værd at bemærke, at hvis du starter Chrome via en anden genvej på din computer, bruger den ikke dette flag.
Deaktivering af SSL 3.0 i Internet Explorer
Microsoft har endnu ikke annonceret, når de planlægger at løse problemet SSL 3.0, så det er bedst at deaktivere det selv ved at åbne din "Start" -menu og skrive i "Internetindstillinger".
Gå til fanen "Avanceret" og rul ned til sektionen "Sikkerhed", indtil du ser SSL- og TLS-indstillingerne, og fjern derefter afkrydsningsfeltet for Brug SSL 3.0 og aktiver TLS i stedet.
På denne måde kan du være sikker på, at dine internetbrowsere er sikre på alle potentielle POODLE-angreb.
Billedkredit: Karen på Flickr
