The POODLE vulnerability: how can you protect yourself?

Récemment, trois chercheurs de Google — Bodo Moller, Thai Duong et Krzysztof Kotwic — ont découvert la dernière faille de sécurité dans un protocole de base utilisé pour crypter le trafic web. La vulnérabilité est nommée caniche, qui signifie Padding Oracle sur déclassé Legacy cryptage et affecte le protocole Secure Sockets Layer (SSL) 3.0 cryptage SSLv3. Selon les derniers rapports, une autre variante de la vulnérabilité de caniche, connu sous le nom (CVE-2014-8730) a été détecté. Ce qui est important, toutes ces questions avec les vulnérabilités caniche sont liées à l'ancien SSLv3, mais pas avec les défauts dans les certificats SSL ou leurs clés privées.

La technologie SSL 3.0 est relativement ancienne ; Il a été introduit en 1996 et est connu pour être actuellement pris en charge par près de 95 % des navigateurs Web, qui permet aux attaquants d'accéder à une vaste quantité d'information. Par exemple, si vous rencontrez un site que ces adresse commence par « https:// », les informations qui sont échangées entre vous et le site ne sont pas accessibles à n'importe qui sauf si le site autorise le trafic sur SSL 3.0, dans lequel cas un attaquant peut facilement exploiter le bug du caniche pour recueillir des informations ciblées.

La vulnérabilité du caniche est considérée comme moins grave que les vulnérabilités Heartbleed et Shellshock, mais elle n'autorise pas un agresseur de prendre en charge vos comptes, tels que Twitter ou Google, sans votre mot de passe. Le caniche vulnérabilité permet d'obtenir un attaquant cookies, mots de passe et autres informations qui peuvent être utilisées pour se connecter à plusieurs comptes sans que l'utilisateur légitime. Contrairement aux Heartbleed et Shellshock vulnérabilités qui attaquent un serveur, caniche cible uniquement les clients.

On a découvert que l'exécution de la vulnérabilité du caniche est beaucoup plus facile lorsqu'un intrus sur le même réseau. Cela s'est avéré pour avoir des conséquences moins néfastes par opposition à ces attaques qui sont menées à distance contre l'ordinateur. Dans le cas où l'Internet est parcouru de hotspots maison mais pas en publics, par exemple de Starbucks, le risque potentiel de devenir affectée est assez faible.

À l'heure actuelle, il n'y a pas de solution efficace pour la vulnérabilité SSL 3.0 lui-même ; par conséquent, il est fortement recommandé à pour désactiver le support pour SSLv3 afin d'éviter de graves problèmes. Il est important de noter que certains produits et navigateurs, comme Internet Explorer 6 pour le système d'exploitation Windows XP seulement utilisent SSLv3. Par exemple, Google a réclamé qu'ils cherchent à retirer le support de SSL 3.0 de leurs produits de client.

Ci-dessous vous trouverez les instructions sur comment vous pouvez désactiver SSL 3.0 et Activer TLS plutôt sur Internet Explorer.

1. Ouvrez le navigateur et appuyez sur outils ou appuyez sur Alt + T.
2. Cliquez sur Options Internet.
3. Ouvrez l'onglet avancé .
4. Désactivez l'option SSL 3.0, puis sélectionnez utiliser TLS 1.1 et utilisation TLS 1.2.
5. Cliquez sur appliquer.

En ce qui concerne Mozilla Firefox, SSL 3.0 a été désactivé après la sortie de Firefox 34.

Il est également important d'être conscient des cyber escrocs parce que n'importe quel message de spam peut-être causer beaucoup de dégâts. En outre, il est conseillé d'ignorer les e-mails de phishing vous demandant de vérifier ou mettre à jour vos comptes et mots de passe. Les attaquants en ligne utilisent différents moyens de la tromperie, et vous ne devriez pas faire confiance chaque seul e-mail ou pop-up notification que vous recevez, car ils peuvent être destinés à vous tromper.