Comment arrêter l'exploit POODLE de mordre votre navigateur

Publicité

Quand les gens n'aiment-ils pas un chiot? Quand ils savent que ce n'est pas un chiot, mais un exploit de navigateur visant à voler leurs informations vitales. Le POODLE (Pajouter Oracle On répropre Ll'égoïsme Encryption) dont nous parlons est une grave attaque de sécurité.

En tant qu'exploit de sécurité, il peut affecter tous les navigateurs Web, et donc chacun d'entre nous. Voyons ce qu'est POODLE, ce qu'il fait et ce que vous pouvez faire pour l'empêcher de vous mordre.

Informations de fond

Pour comprendre POODLE, vous devez en savoir un peu sur SSL et TLS Qu'est-ce que HTTPS et comment activer les connexions sécurisées par défautLes problèmes de sécurité se répandent partout et ont atteint le premier plan de la plupart des gens. Des termes comme antivirus ou pare-feu ne sont plus un vocabulaire étrange et sont non seulement compris, mais également utilisés par ... Lire la suite . Ce sont deux protocoles cryptographiques qui ont été développés pour aider à protéger vos communications Web importantes. Lorsque vous allez sur un site Web et que vous voyez

HTTPS: // avant l'adresse Web, vous utilisez SSL / TLS. SSL (Sécure Socket Layer) et TLS (Transport Sla sécurité Layer) sont deux protocoles très différents, mais la plupart des gens les regroupent et les appellent SSL. SSL a en fait été remplacé par le protocole TLS il y a une dizaine d'années comme de facto standard pour la cryptographie, mais SSL est toujours largement utilisé. C’est ce qui rend POODLE dangereux.

Lorsque vous visitez un site Web, l'ordinateur qui vous sert la page (serveur Web) est capable de plusieurs niveaux de la cryptographie sécurité, de TLSv1.2, le protocole le plus récent et le plus sécurisé, à SSLv3, le protocole le plus ancien et le moins sécurisé. Cela permet à votre navigateur et au serveur Web de pouvoir se connecter avec le même protocole afin qu'ils puissent parler en toute sécurité. C'est la manière fondamentale que les navigateurs et serveurs Web essaient d'empêcher attaques de l'homme du milieu Qu'est-ce qu'une attaque d'homme au milieu? Explication du jargon de sécuritéSi vous avez entendu parler d'attaques de type "homme du milieu" mais n'êtes pas sûr de ce que cela signifie, cet article est pour vous. Lire la suite , comme POODLE.

Que fait POODLE?

POODLE essaie de forcer la connexion entre votre navigateur Web et le serveur pour rétrograder vers SSLv3. S'il le fait, l'attaquant peut obtenir les informations en texte brut de la communication. Cela signifie qu'ils peuvent accéder aux cookies qui sont souvent utilisés pour stocker des informations, dont certains pourraient être de nature personnelle et sensible Qu'est-ce qu'un cookie et qu'est-ce que cela a à voir avec ma confidentialité? [MakeUseOf explique]La plupart des gens savent qu'il y a des cookies dispersés sur Internet, prêts et prêts à être mangés par quiconque peut les trouver en premier. Attends quoi? Ça ne peut pas être vrai. Oui, il y a des cookies ... Lire la suite . Ce que l’attaquant fait de ces informations n’est qu’une supposition, mais ce n’est jamais bon.

À la hausse, l'attaque POODLE n'est pas le moyen le plus simple pour un attaquant d'obtenir vos informations. Cela peut prendre des centaines, voire des milliers, d'essais pour que l'attaque POODLE fonctionne sur quelqu'un. C'est donc quelque chose à craindre, mais ce n'est pas nécessairement aussi mauvais que le récent numéro Heartbleed Heartbleed - Que pouvez-vous faire pour rester en sécurité? Lire la suite .

Comment puis-je me protéger de POODLE?

Heureusement, c'est une chose assez facile à faire. Tout d'abord, voyons si vous êtes vulnérable à POODLE. Rendez-vous simplement sur le site POODLETest.com. Si vous voyez un caniche, vous avez du nettoyage à faire. Si vous voyez le Springfield Terrier, votre navigateur est prêt à l'emploi. Pour ceux qui sont plus avertis en technologie, consultez Test client SSL de Qualys SSL Labs. Il fournit des détails plus approfondis.

Le principe sous-jacent est de désactiver la prise en charge SSLv3 dans votre navigateur Web. S'il est désactivé, POODLE ne peut PAS rétrograder votre navigateur vers celui-ci. Voyons comment procéder dans Chrome, Internet Explorer et Firefox.

Sachez que de nombreux sites Web souhaitent toujours utiliser SSLv3. Si vous le désactivez, ces sites pourraient ne pas fonctionner aussi bien pour vous qu'auparavant. Cela ne ferait pas de mal d'envoyer à cette entreprise un joli e-mail avec un lien vers cet article afin qu'elle soit au courant du problème. Espérons qu'ils passeront à TLS et que tout ira bien à nouveau.

Chrome

Recherchez le raccourci que vous utilisez pour lancer Chrome. Faites un clic droit dessus puis cliquez sur Propriétés.

Quand le Propriétés s'ouvre, recherchez le champ nommé Cible. Il devrait y avoir un long chemin vers l'emplacement du fichier Chrome. Cela devrait ressembler à: "C: \ Program Files (x86) \ Google \ Chrome \ Application \ chrome.exe" ou "C: \ Program Files \ Google \ Chrome \ Application \ chrome.exe".

Cliquez juste après le dernier guillemet et appuyez sur votre barre d'espace pour créer un espace. Saisissez maintenant ce qui suit:

 ––Ssl-version-min = tls1

Vous pouvez également copier et coller cela à partir d'ici. Ce qui indique à Chrome de faire est d'utiliser TLSv1 comme la version la plus basse de sécurité pour votre navigateur Chrome. Clique sur le Appliquer en bas de la fenêtre, et la prochaine fois que vous ouvrirez Chrome, il sera à l'épreuve des POODLE.

Internet Explorer

Ouvrez votre navigateur Internet Explorer et cliquez sur le Réglages icône. C’est celui qui ressemble à un équipement. Cliquez maintenant sur Options Internet. Une nouvelle fenêtre s'ouvrira.

À l'extrême droite, vous verrez un onglet intitulé Avancée - Clique dessus. dans le Réglages, faites défiler vers le bas jusqu'à ce que vous voyiez les options Utiliser SSL 2.0 et Utiliser SSL 3.0.

S'il y a une coche dans ces deux cases, décochez-les en cliquant dessus. Assurez-vous que les cases étiquetées Utiliser TLS 1.o, Utiliser TLS 1.1 et Utiliser TLS 1.2 sont vérifiés. (Si vous n'avez pas ces trois boîtes TLS, vous devez mettre à jour votre Internet Explorer.) Cliquez ensuite sur le Appliquer et le bouton D'accord bouton. Votre Internet Explorer est désormais protégé contre les POODLE.

Firefox

Si vous êtes un fan de Firefox, voici comment aider le renard à déjouer le POODLE. Accédez simplement à Firefox SSL Version Control 0.2 Page Module complémentaire, puis téléchargez et installez le module complémentaire SSL Version Control 0.2. C'est si facile.

Firefox a également annoncé que sa prochaine version, Firefox 34, désactivera la prise en charge de SSLv3. Cependant, cette version ne sera pas publiée avant novembre, selon leur site Web.

POODLE sera poché

Une fois que la majorité des utilisateurs auront testé leur navigateur et que la majorité des serveurs Web cesseront d'utiliser SSLv3, POODLE ne sera plus un problème. Il existe également un outil appelé TLS_FALLBACK_SCSV qui a été développé que les serveurs Web et les programmeurs de navigateur peuvent implémenter pour vous aider. Malheureusement, cet outil nécessite à la fois le serveur Web et le navigateur. Cela prendra un certain temps à mettre en œuvre par tout le monde. Ce n'est qu'alors que SSLv3 sera abandonné, comme il aurait dû le faire il y a dix ans. Passez le mot et faites du Web un endroit plus sûr.

Crédits image: Caniche en colère, Image vectorielle HTTPS via Shutterstock.