Nowa podatność POODLE w protokole SSLv3 – zagrożenie dla bezpieczeństwa!
Nowa podatność POODLE w protokole SSLv3 – zagrożenie dla bezpieczeństwa!
Od kilku godzin świat obiega informacja o szczegółach nowego ataku na protokół SSLv3, którego ochrzczono akronimem “POODLE“. Bezpieczeństwo transmisji danych w 2014 roku po raz kolejny dostało siarczysty policzek.
Padding Oracle On Downgraded Legacy Encryption to koncepcja zaprezentowana przez Bodo Möllera, Thai Duong oraz Krzysztofa Kotowicza. W odróżnieniu od innych, głośnych luk z tego roku, POODLE nie celuje w bezpieczeństwo serwerów, a przeglądarek użytkowników.
Efektem wykorzystania nowego błędu w SSLv3 jest powolne poznawanie kolejnych bajtów tekstu jawnego w transmisji zabezpieczonym znakiem “bezpiecznej” kłódki. Charakter ataku wymaga wykorzystania wielu powtórnych połączeń, dlatego niełatwo jest poznać treść haseł wysyłanych np. metodą POST.
Jednak wykradnięcie ciasteczka uwierzytelniającego (z flagą secure) staje się realnym zagrożeniem. Użytkownicy powinni być świadomi ryzyka i unikać korzystania z SSLv3 w swoich aplikacjach.
Na podstawie: Źródła
