Comment arrêter le POODLE exploiter de mordre votre navigateur

Quand les gens n'aiment-ils pas un chiot? Quand ils savent que ce n'est pas un chiot, mais un exploit de navigateur destiné à voler leurs informations vitales. Le POODLE (Pajouter Oracle On répropre Légalité Encryption) est une grave attaque de sécurité.

En tant qu'exploitation de la sécurité, cela peut affecter tous les navigateurs Web, et donc chacun d'entre nous. Voyons ce qu'est POODLE, ce qu'il fait et ce que vous pouvez faire pour l'empêcher de vous piquer.

Informations de fond

Pour comprendre POODLE, vous devez en savoir un peu plus sur SSL et TLS. Qu'est-ce que HTTPS et comment activer les connexions sécurisées par défaut? Qu'est-ce que HTTPS et comment activer les connexions sécurisées par défaut? Les problèmes de sécurité se répandent de plus en plus loin et sont au premier plan tout le monde pense. Des termes comme antivirus ou pare-feu ne sont plus un vocabulaire étrange et ne sont pas seulement compris, mais aussi utilisés par…. Ce sont deux protocoles cryptographiques développés pour vous aider à protéger vos communications Web importantes. Quand vous allez sur un site web et que vous voyez HTTPS: // avant l’adresse Web, vous utilisez SSL / TLS. SSL (Sbien sûr Sprise Layer) et TLS (Transport Security Layer) sont deux protocoles très différents, mais la plupart des gens les regroupent et les appellent SSL. SSL a en fait été remplacé par le protocole TLS il y a environ dix ans en tant que de facto standard pour la cryptographie, mais SSL est encore largement utilisé. C'est ce qui rend dangereux POODLE.

Lorsque vous visitez un site Web, l'ordinateur qui vous sert la page (serveur Web) est capable de plusieurs niveaux de sécurité cryptographique, de TLSv1.2, le protocole le plus récent et le plus sécurisé, à SSLv3, le protocole plus ancien et moins sécurisé. Cela permet à votre navigateur et au serveur Web de pouvoir se connecter avec le même protocole afin de pouvoir communiquer en toute sécurité. C’est la façon fondamentale dont les navigateurs Web et les serveurs tentent de prévenir les attaques de type "man-in-the-middle". Qu'est-ce qu'une attaque Man-in-the-Middle? Le jargon de la sécurité a expliqué Qu'est-ce qu'une attaque de type "homme du milieu"? Le jargon de sécurité expliqué Si vous avez entendu parler d'attaques de type "homme au milieu" mais que vous n'êtes pas certain de ce que cela signifie, cet article est pour vous. comme POODLE.

Que fait POODLE??

POODLE essaie de forcer la connexion entre votre navigateur Web et le serveur pour rétrograder à SSLv3. Si cela se produit, l'attaquant peut obtenir les informations en texte brut de la communication. Cela signifie qu'ils peuvent accéder aux cookies qui sont souvent utilisés pour stocker des informations, dont certaines peuvent être personnelles et sensibles par nature. Qu'est-ce qu'un cookie et quel est son rapport avec ma vie privée? [MakeUseOf explique] Qu'est-ce qu'un cookie et quel est son rapport avec ma vie privée? [MakeUseOf explique] La plupart des gens savent qu'il existe des cookies dispersés sur Internet, prêts à être consommés par ceux qui les trouveront en premier. Attends quoi? Cela ne peut pas être juste. Oui, il y a des cookies… Ce que l’attaquant fait de cette information n’est pas une conjecture, mais ce n’est jamais bon.

En revanche, l’attaque POODLE n’est pas le moyen le plus simple pour un attaquant d’obtenir vos informations. Des centaines, voire des milliers d'essais peuvent être nécessaires pour que l'attaque POODLE fonctionne contre quelqu'un. C'est donc un sujet de préoccupation, mais ce n'est pas nécessairement aussi grave que le récent numéro de Heartbleed Heartbleed - Que pouvez-vous faire pour rester en sécurité? Heartbleed - Que pouvez-vous faire pour rester en sécurité?? .

Comment puis-je me protéger contre POODLE?

Heureusement, c'est une chose assez facile à faire. Tout d’abord, voyons si vous êtes vulnérable face à POODLE. Il suffit d'aller sur le site Web POODLETest.com. Si vous voyez un caniche, vous avez du nettoyage à faire. Si vous voyez le Springfield Terrier, votre navigateur est prêt à fonctionner. Pour les plus férus de technologie, consultez le test du client SSL de Qualys SSL Labs. Il fournit des détails plus en profondeur.

Le principe sous-jacent est de désactiver la prise en charge de SSLv3 dans votre navigateur Web. Si cette fonction est désactivée, POODLE ne peut PAS rétrograder votre navigateur. Voyons comment faire cela dans Chrome, Internet Explorer et Firefox.

Sachez que de nombreux sites Web souhaitent toujours utiliser SSLv3. Si vous le désactivez, ces sites risquent de ne pas fonctionner aussi bien pour vous que par le passé. Cela ne ferait pas de mal d'envoyer un e-mail à cette société avec un lien vers cet article afin qu'elle soit au courant du problème. Espérons qu'ils passeront à TLS et que tout ira bien à nouveau.

Chrome

Recherchez le raccourci que vous utilisez pour lancer Chrome. Faites un clic droit dessus, puis cliquez sur Propriétés.

Quand le Propriétés La fenêtre s'ouvre, trouvez le champ nommé Cible. Le chemin d'accès à l'emplacement du fichier Chrome doit être long. Cela devrait ressembler à: “C: \ Program Files (x86) \ Google \ Chrome \ Application \ chrome.exe” ou “C: \ Program Files \ Google \ Chrome \ Application \ chrome.exe”.

Cliquez juste après le dernier guillemet et appuyez sur la barre d'espace pour créer un espace. Maintenant, tapez ce qui suit:

 -ssl-version-min = tls1

Vous pouvez aussi copier et coller ça d'ici. Ce que cela dit à Chrome, c'est d'utiliser TLSv1 comme version de sécurité la plus basse pour votre navigateur Chrome. Clique sur le Appliquer bouton en bas de la fenêtre et la prochaine fois que vous ouvrirez Chrome, il sera protégé contre POODLE.

Internet Explorer

Ouvrez votre navigateur Internet Explorer et cliquez sur le bouton Réglages icône. C'est celui qui ressemble à un engrenage. Maintenant, cliquez sur Options Internet. Une nouvelle fenêtre s'ouvrira.

À l'extrême droite, vous verrez un onglet intitulé Avancée - Clique dessus. dans le Réglages zone, faites défiler jusqu'à ce que vous voyez les options Utiliser SSL 2.0 et Utiliser SSL 3.0.

S'il y a une coche dans ces deux cases, décochez-les en cliquant dessus. Assurez-vous que les cases étiquetées Utiliser TLS 1.o, Utiliser TLS 1.1 et Utiliser TLS 1.2 sont vérifiés. (Si vous ne disposez pas de ces trois zones TLS, vous devez mettre à jour votre Internet Explorer.) Cliquez ensuite sur le bouton Appliquer bouton, et le D'accord bouton. Votre Internet Explorer est maintenant compatible avec POODLE.

Firefox

Si vous êtes un fan de Firefox, voici comment aider le renard à déjouer le POODLE. Allez simplement sur la page du module complémentaire SSL Version Control 0.2 de Firefox, puis téléchargez et installez le module complémentaire SSL Version Control 0.2. C'est si facile.

Firefox a également annoncé que sa prochaine version, Firefox 34, désactivera la prise en charge de SSLv3. Cependant, cette version ne sera publiée qu’en novembre, selon leur site Web..

POODLE sera poché

Une fois que la majorité des utilisateurs ne verront pas leurs navigateurs et que la majorité des serveurs Web cesseront d’utiliser SSLv3, POODLE ne posera plus aucun problème. Il existe également un outil appelé TLS_FALLBACK_SCSV qui a été développé et que les serveurs Web et les programmeurs de navigateurs peuvent implémenter pour vous aider. Malheureusement, cet outil nécessite à la fois le serveur Web et le navigateur. Cela prendra un certain temps pour tout le monde à mettre en œuvre. Alors seulement, SSLv3 disparaîtra, comme il se doit il y a une décennie. Passez le mot et faites du Web un endroit plus sûr.

Crédits image: Caniche en colère, Image vectorielle HTTPS via Shutterstock.