Jaká je bezpečnostní chyba a jak se můžeš chránit?

Je těžké zabalit naše myšlenky kolem všech těchto internetových katastrof, jak se vyskytují, a stejně jako jsme si mysleli, že internet je bezpečný znovu poté, co Heartbleed a Shellshock hrozí, že "ukončí život, jak to víme," přijde POODLE.

Nebuďte příliš zpracováni, protože to není tak hrozivé, jak to zní. Pravdou je, že se jedná o problém, který je třeba věnovat, ale existují jednoduché kroky, které můžete podniknout, abyste se ochránili.

Co je to POODLE?

Začněme v přízemí. Co je POODLE? Nejprve to znamená "Padování Oracle na downgraded Legacy Encryption."Problém zabezpečení je přesně to, co naznačuje název, downgrade protokolu, který umožňuje zneužívání na zastaralé formě šifrování. Tento problém se dostal do pozornosti světa tento měsíc, když Google vydal papír s názvem "Tento POODLE Bites: Využívání SSL 3.0 Fallback".

Chcete-li to vysvětlit jednodušeji, pokud útočník, který používá útok Man-In-The-Middle, může převzít kontrolu nad směrovačem na veřejné hotspot, může přinutit váš prohlížeč k přechodu na SSL 3.0 (starší protokol) namísto použití mnohem modernější TLS (Transport Layer Security), a pak využít bezpečnostní díru v SSL, aby se zabalil váš prohlížeč. Protože je tento problém v protokolu, je ovlivněno vše, co používá protokol SSL.

Dokud server i klient (webový prohlížeč) podporují protokol SSL 3.0, může útočník v protokolu vynutit downgrade, takže i v případě, že se váš prohlížeč pokusí používat TLS, bude místo toho nucen používat SSL. Jedinou odpovědí je odstranění podpory pro SSL pro obě strany nebo pro obě strany, čímž se odstraní možnost downgradování.

Pokud primárně procházíte z domova a nepoužíváte veřejné hotspoty, potenciální poškození je poměrně nízké a vy můžete jednoduše učinit jednoduché kroky popsané později v článku, abyste se ochránili. Pokud často používáte veřejnou hotspot, může být čas přemýšlet o používání VPN.

Jak můžeme problém vyřešit?

Vzhledem k tomu, že neexistuje žádný způsob, jak vyřešit problémy s protokolem SSL, jediným řešením je, aby si výrobci prohlížečů a weboví servery vylepšili vše pro odstranění podpory SSL a vyžadovaly pouze šifrování TLS.

Google a Firefox již oznámily, že budou v budoucnu odstraňovat podporu, a zatímco jsme Microsoft ještě (neslyšeli) totéž, je to extrémně snadné, protože koncový uživatel zakáže SSL 3.0 v IE. Většina velkých webových firem odstraňuje podporu SSL poté, co tento problém vyšel na světlo, ale bude to chvíli trvat, než to učiní každý.

Jako zákazník můžete z vašeho prohlížeče odstranit podporu SSL pomocí jedné z níže uvedených metod - nebo pokud používáte prohlížeč Firefox nebo Google Chrome a nepoužíváte hotspoty po celou dobu, můžete čekat na aktualizaci prohlížeče. Nebo se můžete ujistit, že jste problém vyřešili sami.

Zakázání protokolu SSL 3.0 v Mozilla Firefox

Pokud jste uživatel Mozilla Firefox, vaše obavy z SSL 3.0 budou spánkovány 25. listopadu 2014, kdy bude Fireox 34 propuštěn. Jeden problém s tím je, že ještě není listopad a musíte podniknout kroky k ochraně sebe. Začněte tím, že otevřete prohlížeč Firefox a přejdete na stránku pro stahování verzí SSL verze ve Firefoxu.

Po úspěšném instalaci můžete do navigačního panelu zadat "About: Addons" a vybrat rozšíření "Verze SSL Verze". Klepnutím na tlačítko "Možnosti" můžete zobrazit nastavení rozšíření. Ujistěte se, že jsou zapnuty funkce "Automatické aktualizace" a že "Minimální verze SSL" je nastavena na hodnotu "TLS 1.0"

Po uvolnění Firefoxu 34 můžete mít možnost rozšíření zakázat nebo odinstalovat.

Zakázání protokolu SSL 3.0 v prohlížeči Google Chrome

Pokud jste uživatel Google Chrome, můžete si být jisti, že v příštích měsících bude zakázáno SSL 3.0, přestože dosud nezadali datum. Pokud se chcete nyní chránit, může to být provedeno v několika jednoduchých krocích. Jednoduše přejděte na ikonu pracovní plochy Google Chrome a klikněte pravým tlačítkem myši na ni a pak v dolní části rozbalovací nabídky vyberte možnost Vlastnosti.

V okně "Vlastnosti" uvidíte pole pro zadávání textu s názvem "Cíl". Stačí kliknout na toto pole a stisknout tlačítko "Konec" na klávesnici. Poté stiskněte "Mezerník" a zkopírujte a vložte tento text na konec.

--ssl-verze-min = tls1

Stiskněte tlačítko "Použít" a v rozbalovacím okně klikněte na "Pokračovat" a pak stiskněte tlačítko "OK".

Nyní váš prohlížeč automaticky odmítne certifikáty SSL 3.0 a přijme pouze TLS 1.0 a vyšší. Stojí za to poznamenat, že pokud spustíte Chrome přes libovolný jiný odkaz na vašem počítači, nebude tento příznak používat.

Zakázání protokolu SSL 3.0 v aplikaci Internet Explorer

Společnost Microsoft dosud neoznámila, kdy plánuje řešit problém s protokolem SSL 3.0, takže je nejlepší ji zakázat otevřením nabídky "Start" a zadáním možnosti "Možnosti Internetu".

Přejděte na záložku "Pokročilé" a přejděte dolů na část "Zabezpečení", dokud neuvidíte možnosti SSL a TLS, a poté zrušte zaškrtnutí volby Použít protokol SSL 3.0 a zapněte volbu TLS.

Tímto způsobem si můžete být jisti, že vaše internetové prohlížeče jsou v bezpečí před možnými útoky POODLE.

Image Credit: Karen na Flickru