Hier, Google a publié la découverte d'une vulnérabilité SSL 3.0 appelée "POODLE". Cette vulnérabilité permet à un pirate de décrypter les données transférées et de lire du texte en clair. Bien que de nombreux navigateurs prennent en charge des protocoles plus récents et plus sûrs, un pirate peut créer des problèmes de connectivité, ce qui amène le navigateur à se rabattre sur le protocole SSL 3.0, qui est vulnérable.
L'infrastructure Linode est-elle vulnérable ?
Nous avons désactivé SSL 3.0 sur nos serveurs web, NodeBalancers, et le reste de notre infrastructure. La rapidité d'exécution de notre équipe de sécurité a permis de protéger notre infrastructure contre cette vulnérabilité.
Suis-je vulnérable ?
Si votre Linode orienté vers l'Internet permet des connexions cryptées, vous devrez vous assurer que SSL 3.0 est complètement désactivé. Cela ne signifie pas qu'un protocole plus puissant tel que TLS est proposé en premier, mais plutôt que SSL 3.0 ne doit pas être une option du tout. Vous pouvez vérifier si vous êtes vulnérable et comment désactiver SSL 3.0 en utilisant notre guide : Désactiver SSLv3 pour POODLE.
Commentaires (8)
Thank you guys for this rapid response.
I think you should give a handy simple way on how to disable ssl 3.0 or deploy TLS_FALLBACK_SCSV into a server, such as how to change ssl.conf file.
In response to 水景一页, the Zmap people have put together a great resource:
https://zmap.io/sslv3/
There’s a nice cheat sheet for a few of the server-side packages:
https://zmap.io/sslv3/servers.html
The post has been updated with our guide on how to check for and then disable SSL 3.0.
Hi,
This guy is kindly enough to provide backported dovecot 2.0.9 which has SSlv3 disabled: https://fh.kuehnel.org/doevcot-ssl3/.
will there be any option in the near future to support SSL3 with TLS_FALLBACK_SCSV?
IE6 may be dwindling, but it’s still out there in some markets.
Thank you so Much for Helpful Tips.
TLS_FALLBACK_SCSV on web server end is only part of the solution as it only works if client web browser end supports TLS_FALLBACK_SCSV https://community.centminmod.com/threads/poodle-attacks-on-sslv3-vulnerability.1651/page-3#post-8351 . So until all web browsers update to support such, SSLv3 should be disabled on server end.
Thank you So Much @George