昨日、Googleは"POODLE"という名前のSSL 3.0脆弱性の発見を発表しました。この脆弱性により、攻撃者は転送されたデータを復号化し、プレーン テキストを正常に読み取ることができる可能性があります。多くのブラウザは新しい、より安全なプロトコルをサポートしていますが、攻撃者は接続の問題を引き起こすことで、ブラウザが脆弱な SSL 3.0 プロトコルにフォールバックする可能性があります。
Linode インフラは脆弱ですか？
Web サーバー、NodeBalancers、および残りのインフラで SSL 3.0 を無効にしました。セキュリティチームの迅速な実行により、当社のインフラをこの脆弱性から守りました。
私の資産は脆弱ですか?
インターネット接続側の Linode で暗号化接続を許可している場合は、SSL 3.0 が完全に無効になっていることを確認する必要があります。これは、TLSなどのより強力なプロトコルが最初に提供されるのではなく、SSL 3.0がまったくオプションであってはならないという意味です。脆弱性があるかどうか、そしてSSL 3.0 を無効にする方法については、このガイドを参照してください：POODLE 対応のための SSLv3 無効化。
コメント (8)
Thank you guys for this rapid response.
I think you should give a handy simple way on how to disable ssl 3.0 or deploy TLS_FALLBACK_SCSV into a server, such as how to change ssl.conf file.
In response to 水景一页, the Zmap people have put together a great resource:
https://zmap.io/sslv3/
There’s a nice cheat sheet for a few of the server-side packages:
https://zmap.io/sslv3/servers.html
The post has been updated with our guide on how to check for and then disable SSL 3.0.
Hi,
This guy is kindly enough to provide backported dovecot 2.0.9 which has SSlv3 disabled: https://fh.kuehnel.org/doevcot-ssl3/.
will there be any option in the near future to support SSL3 with TLS_FALLBACK_SCSV?
IE6 may be dwindling, but it’s still out there in some markets.
Thank you so Much for Helpful Tips.
TLS_FALLBACK_SCSV on web server end is only part of the solution as it only works if client web browser end supports TLS_FALLBACK_SCSV https://community.centminmod.com/threads/poodle-attacks-on-sslv3-vulnerability.1651/page-3#post-8351 . So until all web browsers update to support such, SSLv3 should be disabled on server end.
Thank you So Much @George