POODLE: как обстоят дела на сегодня?

В 2014 году в протоколе SSL было обнаружено ряд уязвимостей: в частности, нашумевшая и достаточно широко освещаемая в СМИ уязвимость в протоколе SSLv3 POODLE (описание уязвимости от Google), появились описания конкретного варианта реализации атаки. Протокол SSLv3 признали устаревшим и небезопасным (SSL 3.0 [RFC6101] is an obsolete and insecure protocol). Ведущие производители веб-браузеров рекомендовали отключать SSLv3 и даже появился ресурс, посвященный именно тому, как отключить SSLv3 как на стороне браузера, так и на стороне веб-сервера. В новых версиях веб-браузеров (Firefox >34, Chrome >40, IE11 KB3038778) выключена поддержка SSLv3. Позже появилась новость, что POODLE-атаке подвержены и некоторые реализации протокола TLSv1 (использующие режим шифрования СВС). Ранее, в 2011 году на конференции в Сингапуре D.J.Bernstein продемонстрировал, что протоколы TLS и SSL, использующие шифр RC4, могут быть вскрыты.  В 2015 году Google объявила о прекращении поддержки шифров RC4 в своих продуктах (в том числе сервера и почта).  1 марта появилась новость о возможности реализации атаки на TLS протокол на серверах, на которых включена поддержка SSLv2 (DROWN-атака) с подробным описанием.

Конечно, все атаки с использованием вышеперечисленных уязвимостей требуют некоторой квалификации атакующего и довольно сложны в реализации (тот же взлом шифра RC4 при демонстрации в Сингапуре занял 32 часа), но общая тенденция такова, что ведущие в отрасли специалисты рекомендуют переходить на протокол TLSv1.2 и набор шифров GCM и отказываться от потенциально уязвимых протоколов.

Меня же заинтересовал другой аспект. Я, как посетитель интернет-сайтов, заинтересовался, а на сколько сайты, которые я посещаю, в тренде мировых веяний. Ведь по статистике SSL Pulse, порядка 20% веб-сайтов из обследованных имеют определенные известные уязвимости в безопасности. Qualys Inc. был создан сайт для анализа настройки SSL на любом публичном сервере в сети Интернет. И я решил проверить несколько сайтов, посетителем которых я являюсь. У меня не стояла цель найти уязвимость в сайте с целью атаки и не стояла цель уронить репутацию сайта в глазах общественности, поэтому я не буду приводить ни названия, ни адреса сайтов, кто захочет, найдет это самостоятельно (к сожалению, это сделать не так уж и сложно).

Анализ некоторых сайтов показал, что есть как сайты, имеющие высокий рейтинг согласно классификации SSLLabs (А+, А, А-, В, С и тп), так и сайты, имеющие наименее низкий рейтинг F. Как правило, это сайты, имеющие какого-либо рода уязвимость либо даже несколько уязвимостей. На некоторых сайтах до сих пор используются алгоритмы шифрования Diffie-Hellmanа, которые признаны небезопасными. На нескольких сайтах SSLLab показал, что поддерживается протокол SSLv2, который может быть использован для DROWN-атаки, описанной ранее. Вот, к примеру, что показало сканирование SSLLab одного из сайтов, предоставляющего услуги интернет-банкинга.

 

Сеть интернет – публичная сеть с большим количеством точек доступа, и вопросы информационной безопасности с каждым годом будут все более актуальными. Если помните, в 2014 году была обнаружена серьезная уязвимость в популярной криптографической библиотеке OpenSSL, The Heartbleed Bug. Уязвимость очень серьезная и достаточно легко эксплуатируемая  (проверить свой сайт на наличие уязвимости можно тут). Обновление было выпущено достаточно оперативно, но… Гуляя по интернету, я наткнулся на интересную статью The Other Side of Heartbleed – Client Vulnerabilities. Для тех, кто знает английский, советую почитать. Основная мысль статьи в том, что уязвимость Heartbleed будет достаточно быстро устранена на серверах, но может существовать достаточно долго на многих устройствах со встроенной операционной системой, для которых новая версия прошивки может не появиться никогда.

Обновляйте прикладное и системное ПО, читайте бюллетени безопасности. Берегите свои данные.

Оставить комментарий