Non agitarti troppo perché non è così minaccioso come sembra. La verità è che si tratta di un problema, ma ci sono dei semplici passaggi da seguire per salvaguardare te stesso.
Cos'è il POODLE?
Iniziamo al piano terra. Cos'è il POODLE? Prima di tutto, sta per "Riempimento Oracle On Crittografia legacy declassata. "Il problema di sicurezza è esattamente quello che suggerisce il nome, un downgrade del protocollo che consente exploit su una forma obsoleta di crittografia. Il problema è arrivato all'attenzione del mondo questo mese, quando Google ha rilasciato un documento intitolato "Questo morso di POODLE: sfruttamento del fallback SSL 3.0".
Per spiegare questo in termini più semplici, se un utente malintenzionato che utilizza un attacco Man-In-The-Middle può assumere il controllo di un router in un hotspot pubblico, può forzare il browser a eseguire il downgrade a SSL 3.0 (un protocollo precedente) anziché utilizzare il molto più moderno TLS (Transport Layer Security), e quindi sfruttare un buco di sicurezza in SSL per dirottare le sessioni del browser. Poiché questo problema è nel protocollo, tutto ciò che utilizza SSL è interessato.
Finché sia il server che il client (browser Web) supportano SSL 3.0, l'utente malintenzionato può forzare un downgrade nel protocollo, quindi, anche se il browser tenta di utilizzare TLS, finisce per essere costretto a utilizzare SSL. L'unica risposta è per entrambi i lati o entrambi i lati per rimuovere il supporto per SSL, eliminando la possibilità di essere declassati.
Se navighi principalmente da casa e non usi hotspot pubblici, il potenziale di danno è piuttosto basso e puoi semplicemente prendere le semplici misure descritte più avanti nell'articolo per proteggerti. Se utilizzi spesso un hotspot pubblico, potrebbe essere il momento di pensare all'utilizzo di una VPN.
Come possiamo risolvere il problema?
Poiché non c'è modo di risolvere i problemi con SSL, l'unica soluzione è che i produttori di browser e i server Web aggiornino tutto per rimuovere il supporto per SSL e richiedano solo la crittografia TLS.
Google e Firefox hanno già annunciato che rimuovono il supporto in futuro e, sebbene non abbiamo (ancora) ascoltato lo stesso da Microsoft, è estremamente facile come utente finale disabilitare SSL 3.0 in IE. La maggior parte delle grandi aziende web stanno rimuovendo il supporto per SSL dopo che questo problema è venuto alla luce, ma ci vorrà un po 'di tempo prima che tutti lo facciano.
Come consumatore, puoi rimuovere il supporto per SSL dal tuo browser utilizzando uno dei metodi descritti di seguito - o se utilizzi Firefox o Google Chrome e non utilizzi sempre hotspot, puoi attendere che aggiornino il browser. O puoi assicurarti di aver risolto il problema tu stesso.
Disabilitazione di SSL 3.0 in Mozilla Firefox
Se sei un utente di Mozilla Firefox, i tuoi problemi relativi a SSL 3.0 verranno messi a letto il 25 novembre 2014 quando verrà rilasciato Fireox 34. L'unico problema è che non è ancora novembre e devi agire per proteggerti ora. Inizia aprendo il browser Firefox e navigando verso la pagina di download di Controllo versione SSL in Firefox.
Disabilitazione di SSL 3.0 in Google Chrome
Se sei un utente di Google Chrome, puoi essere certo che lo SSL 3.0 verrà disattivato nei prossimi mesi, anche se non hanno ancora impostato una data. Se vuoi proteggere te stesso ora, può essere fatto in pochi semplici passaggi. Vai semplicemente sull'icona del tuo desktop Google Chrome e fai clic con il pulsante destro del mouse su di esso, quindi seleziona "Proprietà" nella parte inferiore del menu popup.
--ssl-version-min=tls1
Ora il tuo browser rifiuterà automaticamente i certificati SSL 3.0 e accetterà solo TLS 1.0 e versioni successive. Vale la pena notare che se si avvia Chrome tramite qualsiasi altro collegamento sul computer, non verrà utilizzato questo flag.
Disabilitazione di SSL 3.0 in Internet Explorer
Microsoft non ha ancora annunciato quando sta pianificando di risolvere il problema con SSL 3.0, quindi è meglio disabilitarlo aprendo il menu "Start" e digitando "Opzioni Internet".
Immagine di credito: Karen su Flickr
