Как стать автором
Обновить
0
Digital Security
Безопасность как искусство

Уязвимость SSLv3 POODLE — как BEAST, только проще

Время на прочтение2 мин
Количество просмотров64K
собак
Как вы, возможно, знаете, в SSLv3 обнаружена возможность Padding Oracle атаки, которая позволяет злоумышленнику, имеющему какую-либо возможность отправлять свои данные на сервер по SSLv3 от имени жертвы, расшифровывать по 1 байту за 256 запросов. Происходит это из-за того, что в SSLv3 padding не учитывается в MAC.

Теоретически, реализовать атаку можно на любой сервис, где есть возможность влиять на отправляемые данные со стороны атакуемого. Проще всего это реализовать, например, если злоумышленнику необходимо получить Cookie на HTTPS-странице, добавляя свой код на HTTP-страницы, который делает подконтрольные запросы на HTTPS-страницы, и подменяя шифрованные блоки.

В любом случае, атакующему необходимо:
  • Иметь возможность прослушивать и подменять трафик атакуемого
  • Иметь возможность совершать запросы от имени атакуемого с известным атакующему текстом


Уязвимость не зависит от конкретной реализации, она by design. Хоть уязвимость и затрагивает только CBC-режим, лучше отключить SSLv3 полностью. Время SSL прошло.

Как защититься?


Отключите SSLv3 как на клиентах, так и на серверах.

В Firefox < 34 нужно либо установить аддон, либо
about:config → security.tls.version.min=1
(а в >34 SSLv3 отключен)

В Chrome добавьте
--ssl-version-min=tls1
в качестве ключа запуска

В Internet Explorer уберите галочку с «SSLv3» в настройках безопасности.

Для nginx:
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Для Apache:
SSLProtocol All -SSLv2 -SSLv3

Для IIS

Ссылки


poodlebleed.com — проверка серверов
www.poodletest.com — проверка браузеров
poodlebleed.com/ssl-poodle.pdf — Whitepaper
blog.cloudflare.com/sslv3-support-disabled-by-default-due-to-vulnerability — Анонс отключения SSLv3 на Cloudflare по умолчанию
googleonlinesecurity.blogspot.ru/2014/10/this-poodle-bites-exploiting-ssl-30.html — Анонс от Google
security.stackexchange.com/questions/70719/ssl3-poodle-vulnerability — Подробная информация об атаке
www.imperialviolet.org/2014/10/14/poodle.html — Детальное описание атаки
Теги:
Хабы:
Всего голосов 53: ↑53 и ↓0+53
Комментарии51

Публикации

Информация

Сайт
dsec.ru
Дата регистрации
Дата основания
Численность
51–100 человек
Местоположение
Россия

Истории