Google оголосив про вразливість протоколу SSLv3, що
... дозволяє обчислювати простий текст захищених з'єднань мережевим зловмисником.
Цій вразливості було надано позначення CVE-2014-3566 та маркетингова назва POODLE.
Якщо у мене є веб-сайт ` https://www.example.com/ , як я можу дізнатися, чи впливає ця вразливість на мене?
Відповіді:
З появою POODLE всі пакети шифрів, використовувані SSLv3, були порушені, і протокол слід вважати непоправним чином порушеним.
Ви можете перевірити, чи ваш веб-сайт доступний через SSLv3 за допомогою curl(1):
curl -v -3 -X HEAD https://www.example.com
В -vаргумент включає багатослівний висновок, -3сили згорнутися використовувати SSLv3, і -X HEADобмежує вихід на успішне підключення.
Якщо ви не вразливі, ви не зможете підключитися, і ваш вихід повинен виглядати приблизно так:
* SSL peer handshake failed, the server most likely requires a client certificate to connect
Якщо ви вразливі, вам слід побачити нормальний вихід з'єднання, включаючи лінію:
* SSL 3.0 connection using SSL_NULL_WITH_NULL_NULL
Це не лише веб-сайти, доступні через SSL. Пошта, irc та LDAP - це три приклади послуг, доступних через захищені з'єднання, і вони аналогічно вразливі до POODLE, коли вони приймають з'єднання SSLv3.
Для підключення до служби за допомогою SSLv3 можна скористатися командою:openssl(1) s_client(1)
openssl s_client -connect imap.example.com:993 -ssl3 < /dev/null
-connectАргумент приймає hostname:portпараметр, -ssl3аргумент обмежує версію протоколу переговорів для SSLv3 і трубопроводи в /dev/nullдо STDINнегайно розриває з'єднання після його відкриття.
Якщо ви успішно підключились, SSLv3 увімкнено; якщо ви отримаєте ssl handshake failureтоді, це не так.
Є відмінне запитання та відповідь на безпеку SE: /security/70719/ssl3-poodle-vulnerability
SSL .*connection using .*_WITH_.*прирівнюється до невдачі?
Якщо ви хочете зробити швидку перевірку, перейдіть за вказаною нижче URL-адресою. Це дуже добре працює в ногу з усіма речами SSL, включаючи перевірку на наявність POODLE.
curl«S-vпрапор приймає аргумент; чи можете ви підтвердити те, що ви написали вище? Або якщо для цього потрібна певна версіяcurl, це також було б корисно знати.