今天上午，Google发布了一份关于SSLv3漏洞的简要分析报告。根据Google的说法，该漏洞贯穿于所有的SSLv3版本中，利用该漏洞，黑客可以通过中间人攻击等类似的方式(只要劫持到的数据加密两端均使用SSL3.0)，便可以成功获取到传输数据(例如cookies)。截止到发文前，还没有任何补丁放出来。
对此Google表示，他们只能给出一个无奈的建议：关闭客户端SSLv3支持或者服务器SSLv3支持或者两者全部关闭。
另外，Google已经明确表态将在接下来的数月中，逐步从其服务中撤销掉SSLv3的支持。
FreeBuf修复建议(感谢红黄满提供)：
Nginx：
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:RC4-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!DSS:!PKS;
ssl_session_timeout 5m;
ssl_session_cache builtin:1000 shared:SSL:10m;
Apache:
SSLProtocol all -SSLv2 -SSLv3
SSLHonorCipherOrder on
SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:RC4-SHA:!aNULL:!MD5:!DSS
报告原文地址
http://googleonlinesecurity.blogspot.com/2014/10/this-poodle-bites-exploiting-ssl-30.html?m=1
-
GFW可能早就把这个洞刷爆了
关注我们 分享每日精选文章
不容错过
- 【更新支付宝回应】风控缺陷？支付宝曝“致命”漏洞，他人能改你的密码kuma2017-01-10
- 移位溢注：告别靠人品的偏移注入SeagullGR2017-03-02
- 一分钟看完本周「BUF大事件」（20160618-0624）supercoco2016-06-25
- SIM卡安全lu4nx2012-07-12
Copyright © 2013 WWW.FREEBUF.COM All Rights Reserved 沪ICP备13033796号
0day
已有 17 条评论
GFW可能早就把这个洞刷爆了
红黄满
今天是0day爆发日么？
累死安全狗们了
期待后续
FreeBuf修复建议(感谢红黄满提供)：
我擦，明明https://raymii.org/s/tutorials/Strong_SSL_Security_On_nginx.html 提供的
SSLv3 禁用了，某些低版本浏览器将打不开https 页面。
推荐的方式是 禁用CBC 加密方式，CBC 加密方式本来就不怎么安全。
@xxoo 问了下编辑团队，红黄满同学提供的修复建议是这个链接：https://github.com/trevorparker/website/blob/9121ba44e3110535627021e93a81d6cf51a36b23/_source/_posts/2014-05-14-hardening-ssl-in-nginx.md
xxoo同学你想多啦~
@FB客服 漏洞是因为在SSLv3的情况下，使用CBC模式进行加密时，因为最后一个块的可逆太多，导致可以通过刷随机IV，逆推明文
这个是链式加解密问题，如果只是说这个漏洞BEAST，关闭CBC支持就可以了
但其实SSLv3本来就是已经落后了，用TLS1.2是正解
另外，从技术上讲，TLS1.0和SSLv3，根本可以等同，只是架构上TLS会分开传输和鉴权
内网机器目前看来还算安全…
等待后续消息～
SSL应该不会出补丁了，属于设计缺陷，只能等着一点点替换掉了。话说经测试我的手机也有这个漏洞怎么办？…[喵喵]
Nginx用户建议的安全配置参考： 还有常见的 X-Frame-Options 等安全头部的配置。//: 原文增加SSL v3漏洞修复建议，地址 ，感谢 提供。
转发微博
汗、叫他干啥
他已经宣布自己胜利了。这个就是学院派和其他派之间最大的分歧。认为理论的完备是最重要的，从来不知道design and implementation缺一不可
每次有漏洞我都顺手拿教务处去测 教务处太屌。。。
1、IE/360安全浏览器
1）点击浏览器右上角的“工具”选项，选择“Internet选项”\\\\\\\\n2）选择“高级”\\\\\\\\n3）找到“使用SSL3.0”的设置，将方框里的“勾”去掉\\\\\\\\n4）点击“确定”保存
2、Chrome浏览器
Windows系统用户设置方法：\\\\\\\\n1）完全关闭 Chrome 浏览器\\\\\\\\n2）复制一个平时打开 Chrome 浏览器的快捷方式\\\\\\\\n3）在新的快捷方式上右键点击，进入属性\\\\\\\\n4）在「目标」后面的空格中字段的末尾输入以下命令 –ssl-version-min=tls1\\\\\\\\nMac OS X系统用户设置方法：\\\\\\\\n1）完全关闭 Chrome 浏览器\\\\\\\\n2）找到本机自带的终端（Terminal）\\\\\\\\n3）输入以下命令：/Applications/Google\\\\\\\\\\\\\\\\ Chrome.app/Contents/MacOS/Google\\\\\\\\\\\\\\\\ Chrome –ssl-version-min=tls1\\\\\\\\nLinux系统用户设置方法：\\\\\\\\n1）完全关闭 Chrome 浏览器\\\\\\\\n2）在终端中输入以下命令：google-chrome—ssl-version-min=tls1
3、Firefox 浏览器用户可以进入“关于:设置”，方法是在地址栏输入 about:config，然后将 security.tls.version.min 调至 1。