Anar al contingut

Atac POODLE

De L'Enciclopèdia, la wikipedia en valencià

L'atac POODLE (del anglés "Padding Oracle On Downgraded Legacy Encryption") és un exploit man-in-the-middle que aprofita Internet i la característica del software de clients de baixar a SSL 3.0.[1][2][3] Si els atacants exploten exitosamente esta vulnerabilitat, en promig, solament necessiten fer 256 solicituts SSL 3.0 per a revelar un byte dels mensages sifrats. Bodo Möller, Thai Duong i Krzysztof Kotowicz de l'Equip de Seguritat de Google varen descobrir esta vulnerabilitat; la varen fer pública el 14 d'octubre de 2014 (a pesar de que l'estudi estava datat en "Setembre de 2014"[1]).[4] Ivan Ristic no considera l'atac POODLE tan sério com Heartbleed o Shellshock.[5] El 8 de decembre de 2014 es va anunciar una variació a l'atac POODLE que impactava TLS.[6]

L'identificador de la vulnerabilitat de l'atac POODLE original és CVE-2014-3566. L'empresa F5 Networks també va registrar el CVE-2014-8730, veja atac POODLE contra TLS.

Explotació de degradació elegant

[editar | editar còdic]

POODLE ejemplifica una vulnerabilitat que té èxit gràcies a un mecanisme dissenyat per a reduir la seguritat en benefici de l'interoperabilidad. Tals falles requerixen un conte especial en el disseny de sistemes en els dominis en alts nivells de fragmentació. En este tipo de dominis degradació seguritat agraciat pot aplegar a ser comuna.

Prevenció

[editar | editar còdic]

Per a mitigar l'atac POODLE, un enfocament consistix en desactivar completament SSL 3.0 en el costat del client i el servidor. No obstant, alguns clients i servidors antics no admeten TLS 1.0 i superiors. Per lo tant, els autors de l'artícul sobre els atacs POODLE també insistixen en l'implementació de TLS_FALLBACK_SCSV tant en navegador com en l'aplicació de servidor,[7] lo que fa els atacs de degradació impossible.[1][8]

Una atra mitigació és implementar "divisió de registres anti-POODLE". Dividix els registres en vàries parts i assegura que cap d'ells pot ser atacat. No obstant, el problema de la divisió és que, encara que vàlit d'acort en l'especificació, pugues també causar problemes de compatibilitat per problemes en les implementacions de servidor.[9] Opera 25 ha implementat esta mitigació ademés de TLS_FALLBACK_SCSV.[10]

El navegador Chrome de Google i els seus servidors ya soporten TLS_FALLBACK_SCSV. Google va declarar en octubre de 2014 es tenia previst eliminar per complet l'us de SSL 3.0 dels seus productes dins d'uns pocs mesos.[8] La degradació a SSL 3.0 s'ha deshabilitado en Chrome 39, llançat en novembre de 2014.[11]

Mozilla ha deshabilitado SSL 3.0 en Firefox 34 i ESR 31.3, que varen ser posats llançats en decembre de 2014, i ha afegit soport de TLS_FALLBACK_SCSV en Firefox 35.[12]


Microsoft ha publicat un bolletí de seguritat per a explicar cóm deshabilitar SSL 3.0 en Internet Explorer i Windows OS, i el 29 d'octubre de 2014, Microsoft va llançar un "Fix it" que inhabilita SSL 3.0 en Internet Explorer en Windows Vista / Server 2003 i superiors i va anunciar el pla per a deshabilitar SSL 3.0 per defecte en els seus productes i servicis dins d'uns mesos. Microsoft deshabilitó el replec a SSL 3.0 en Internet Explorer 11 per als llocs de modo de protecció el 10 de febrer de 2015.[13] Microsoft va anunciar els seus plans de desactivar completament SSL 3.0 per defecte en IE 11 el 14 d'abril de 2015.[14]

Safari d'Apple (en OS X 10.8, iOS 8.1 i posteriors) s'ha protegit contra POODLE retirant l'us a tots els protocols CBC en SSL 3.0,[15][16] No obstant, açò deixa només RC4 que també està completament trencat pels atacs RC4 en SSL 3.0.

Per a evitar l'atac POODLE, alguns servicis web han abandonat l'us de SSL 3.0. Els eixemples inclouen CloudFlare[17] i Wikimedia.[18]


NSS versió 3.17.1, publicat el 3 d'octubre de 2014, i 3.16.2.3, llançat el 27 d'octubre de 2014, va introduir la compatibilitat en TLS_FALLBACK_SCSV,[19][20] i NSS desactivarà SSL 3.0 per defecte en abril de 2015.[21] versions d'OpenSSL 1.0.1j, 1.0.0o i 0.9.8zc, llançat el 15 d'octubre de 2014, va introduir la compatibilitat en TLS_FALLBACK_SCSV.[22] La versió LLIURESSL 2.1.1, llançat el 16 d'octubre de 2014, deshabilitó SSL 3.0 per defecte.[23]

Referències

[editar | editar còdic]
  1. ↑ 1,0 1,1 1,2 «This POODLE Bites: Exploiting The SSL 3.0 Fallback». Archivat des d'el original, el 14 d'octubre de 2014. Consultat el 2 d'abril de 2015.
  2. ↑ «[1]», Ars Technica.
  3. ↑ «Google researchers reveal new Poodle bug, putting the web on alert».
  4. ↑ https://googleonlinesecurity.blogspot.com/2014/10/this-poodle-bites-exploiting-ssl-30.html
  5. ↑ «[2]», Reuters. Consultat el 15 d'octubre de 2014.
  6. ↑ Langley, Adam. «The POODLE bites again». Consultat el 8 de decembre de 2014.
  7. ↑ draft-ietf-tls-downgrade-scsv-05 - TLS Fallback Signaling Cipher Suite Value (SCSV) for Preventing Protocol Downgrade Attacks
  8. ↑ 8,0 8,1 «This POODLE bites: exploiting the SSL 3.0 fallback». Google Online Security blog. Google (via Blogspot). Consultat el 15 d'octubre de 2014.
  9. ↑ «POODLE attacks on SSLv3». imperialviolet.org. Consultat el 16 d'octubre de 2014.
  10. ↑ «Security changes in Opera 25; the poodle attacks». Opera security blog. Opera. Consultat el 16 d'octubre de 2014.
  11. ↑ Ilascu, Ionut. «Chrome 39 Disables SSLv3 Fallback, Awards $41,500 / €33,000 in Bounties». Softpedia. Consultat el 3 de decembre de 2014.
  12. ↑ «The POODLE Attack and the End of SSL 3.0». Mozilla blog. Mozilla. Consultat el 15 d'octubre de 2014.
  13. ↑ Oot, Alec. «December 2014 Internet Explorer security updates & disabling SSL 3.0 fallback». Microsoft. Consultat el 9 de decembre de 2014.
  14. ↑ «February 2015 security updates for Internet Explorer». IEBlog. Consultat el 10 de febrer de 2015.
  15. ↑ https://support.apple.com/kb/HT6531
  16. ↑ https://support.apple.com/kb/HT6541
  17. ↑ «SSLv3 Support Disabled By Default Due to POODLE Vulnerability». Cloudflare blog. Cloudflare. Consultat el 15 d'octubre de 2014.
  18. ↑ «Protecting users against POODLE by removing SSL 3.0 support». Wikimedia blog. Wikimedia Foundation. Consultat el 17 d'octubre de 2014.
  19. ↑ «NSS 3.17.1 release notes». Mozilla. Archivat des d'el original, el 19 d'abril de 2019. Consultat el 27 d'octubre de 2014.
  20. ↑ «NSS 3.16.2.3 release notes». Mozilla. Archivat des d'el original, el 19 d'abril de 2019. Consultat el 27 d'octubre de 2014.
  21. ↑ «Disable SSL 3 by default in NSS in April 2015.». mozilla.dev.tech.crypto. Consultat el 27 d'octubre de 2014.
  22. ↑ «OpenSSL Security Advisory [15 Oct 2014]». OpenSSL. Archivat des d'el original, el 13 d'agost de 2015. Consultat el 20 d'octubre de 2014.
  23. ↑ «LLIURESSL 2.1.1 released.». LLIURESSL. Consultat el 20 d'octubre de 2014.


Referències

[editar | editar còdic]


Obtingut de «https://lenciclopedia.org/w/index.php?title=Atac_POODLE&oldid=1385373»