Sslv3 İnterneti Tehdit Ediyor

Google araştırmacıları, SSL'nin bir sürümünde güvenliği delmeye izin verebilecek bir açık keşfettiler.

Google emniyet araştırmacısı Bodo Möller, yapmış olduğu açıklamada saldırganların SSL 3.0'da bağlantı hatası oluşturarak web tarayıcısını protokolün eski sürümlerini kullanmaya zorlayabileceğini belirtti . Yaklaşık 15 yaşında olan SSL 3.0, hala birden fazla web tarayıcısı tarafından kullanılıyor.

Möller, yayınladığı belgede "POODLE saldırımız (Padding Oracle On Downgraded Legacy Encryption), " emniyetli " HTTP çerezlerini çalabiliyor" diye belirtti . Möller'e göre sorunu çözmek için SSL 3.0'ı sunucuda ya da istemcide devre dışı bırakmak yeterli oluyor. Şayet bunu yapmak, mühim uyumluluk olumsuzlukları ortaya çıkarabilir. Möller bu yüzden TLS_FALLBACK_SCSV mekanizmasının desteklenmesini istiyor.

Möller, Google Chrome'un TLS_FALLBACK_SCSV'i Şubat'tan beri desteklediğini söylüyor. Möller, Google'ın SSL 3.0'ı "önümüzdeki aylarda" tüm istemci ürünlerinden kaldıracağını da bildiriyor.

Firefox'un geliştirici Mozilla ise SSL 3.0'ın Kasım sonunda yayınlanması planlanan Firefox 34'de devre dışı bırakılacağını belirtti . Firma, Firefox'ta SSL 3.0'ın tüm HTTPS bağlantılarının sadece yüzde 0.3'ünü oluşturduğunu ileri sürüyor. Mozilla, beklemek istemeyenler için ise SSLv3'ü hemen devre dışı bırakmaya yönelik SSL Version Control'ü yayınlamış yer alıyor .

Internet Explorer'da ise SSL v3'ü devre dışı bırakmak bir hayli basit , yapmanız lazım gelen Internet Seçenekleri 'nden Gelişmiş sekmesine girip, "SSL v3" 'ün yanındaki işareti temizlemek.