Comment arrêter le POODLE exploiter de mordre votre navigateur

Quand est-ce que les gens n'aiment pas un chiot? Quand ils savent que ce n'est pas un chiot, mais un exploit de navigateur visant à voler leurs informations vitales. Le POODLE (Pajouter Oracle On répropre Légalité Encryption) est une grave attaque de sécurité.

En tant qu'exploitation de la sécurité, cela peut affecter tous les navigateurs Web, et donc chacun d'entre nous. Voyons ce qu'est POODLE, ce qu'il fait et ce que vous pouvez faire pour l'empêcher de vous piquer.

Informations de fond

Pour comprendre POODLE, vous devez connaître un peu les technologies SSL et TLS. Qu'est-ce que HTTPS et comment activer les connexions sécurisées par défaut? Qu'est-ce que HTTPS et comment activer les connexions sécurisées par défaut? Les problèmes de sécurité se répandent de plus en plus loin et sont au premier plan tout le monde pense. Des termes comme antivirus ou pare-feu ne sont plus un vocabulaire étrange et ne sont pas seulement compris, mais… Read More. Ce sont deux protocoles cryptographiques développés pour vous aider à protéger vos communications Web importantes. Quand vous allez sur un site web et que vous voyez HTTPS: // avant l’adresse Web, vous utilisez SSL / TLS. SSL (Sbien sûr Sprise Layer) et TLS (Transport Security Layer) sont deux protocoles très différents, mais la plupart des gens les regroupent et les appellent SSL. SSL a en fait été remplacé par le protocole TLS il y a environ dix ans en tant que de facto standard pour la cryptographie, mais SSL est encore largement utilisé. C'est ce qui rend dangereux POODLE.

Lorsque vous visitez un site Web, l'ordinateur qui vous sert la page (serveur Web) est capable de plusieurs niveaux de sécurité cryptographique, de TLSv1.2, le protocole le plus récent et le plus sécurisé, à SSLv3, le protocole plus ancien et moins sécurisé. Cela permet à votre navigateur et au serveur Web de pouvoir se connecter avec le même protocole afin de pouvoir communiquer en toute sécurité. C’est le moyen fondamental par lequel les navigateurs Web et les serveurs tentent de prévenir les attaques de type "man-in-the-middle". Qu'est-ce qu'une attaque Man-in-the-Middle? Le jargon de la sécurité a expliqué Qu'est-ce qu'une attaque de type homme au milieu? Le jargon de la sécurité expliqué Si vous avez entendu parler d'attaques de type "homme au milieu" mais que vous n'êtes pas certain de ce que cela signifie, cet article est pour vous. Lire la suite, comme POODLE.

Que fait POODLE??

POODLE essaie de forcer la connexion entre votre navigateur Web et le serveur pour revenir à SSLv3. Si cela se produit, l'attaquant peut obtenir les informations en texte brut de la communication. Cela signifie qu'ils peuvent accéder aux cookies qui sont souvent utilisés pour stocker des informations, dont certaines peuvent être de nature personnelle et sensible. Qu'est-ce qu'un cookie et quel est son rapport avec ma vie privée? [MakeUseOf explique] Qu'est-ce qu'un cookie et quel est son rapport avec ma vie privée? [MakeUseOf explique] La plupart des gens savent qu'il existe des cookies dispersés sur Internet, prêts à être consommés par ceux qui les trouvent en premier. Attends quoi? Cela ne peut pas être juste. Oui, il y a des cookies… Lire la suite. Ce que l’attaquant fait de cette information n’est pas une conjecture, mais ce n’est jamais bon.

En revanche, l’attaque POODLE n’est pas le moyen le plus simple pour un attaquant d’obtenir vos informations. Cela peut prendre des centaines, voire des milliers d'essais pour que l'attaque POODLE fonctionne contre quelqu'un. C’est donc quelque chose d’inquiétant, mais ce n’est pas nécessairement aussi grave que le récent numéro de Heartbleed Heartbleed - Que pouvez-vous faire pour rester en sécurité? Heartbleed - Que pouvez-vous faire pour rester en sécurité? Lire la suite .

Comment puis-je me protéger contre POODLE?

Heureusement, c'est une chose assez facile à faire. Tout d’abord, voyons si vous êtes vulnérable face à POODLE. Il suffit d'aller sur le site Web POODLETest.com. Si vous voyez un caniche, vous avez du nettoyage à faire. Si vous voyez le Springfield Terrier, votre navigateur est prêt à fonctionner. Pour les plus férus de technologie, consultez le test du client SSL de Qualys SSL Labs. Il fournit des détails plus en profondeur.

Le principe sous-jacent est de désactiver la prise en charge de SSLv3 dans votre navigateur Web. Si cette option est désactivée, POODLE ne peut PAS rétrograder votre navigateur. Voyons comment faire cela dans Chrome, Internet Explorer et Firefox.

Sachez que de nombreux sites Web souhaitent toujours utiliser SSLv3. Si vous le désactivez, ces sites risquent de ne plus fonctionner aussi bien que par le passé. Cela ne ferait pas de mal d'envoyer un e-mail à cette société avec un lien vers cet article afin qu'elle soit au courant du problème. Espérons qu'ils passeront à TLS et que tout ira bien à nouveau.

Chrome

Recherchez le raccourci que vous utilisez pour lancer Chrome. Faites un clic droit dessus, puis cliquez sur Propriétés.

Quand le Propriétés La fenêtre s'ouvre, trouvez le champ nommé Cible. Le chemin d'accès à l'emplacement du fichier Chrome doit être long. Cela devrait ressembler à: “C: \ Program Files (x86) \ Google \ Chrome \ Application \ chrome.exe” ou “C: \ Program Files \ Google \ Chrome \ Application \ chrome.exe”.

Cliquez juste après le dernier guillemet et appuyez sur la barre d'espace pour créer un espace. Maintenant, tapez ce qui suit:

 -ssl-version-min = tls1

Vous pouvez aussi copier et coller ça d'ici. Ce que cela dit à Chrome, c'est d'utiliser TLSv1 comme version de sécurité la plus basse pour votre navigateur Chrome. Clique sur le Appliquer bouton en bas de la fenêtre et la prochaine fois que vous ouvrirez Chrome, il sera protégé contre POODLE.

Internet Explorer

Ouvrez votre navigateur Internet Explorer et cliquez sur le bouton Réglages icône. C'est celui qui ressemble à un engrenage. Maintenant, cliquez sur Options Internet. Une nouvelle fenêtre s'ouvrira.

À l'extrême droite, vous verrez un onglet intitulé Avancée - Clique dessus. dans le Réglages zone, faites défiler jusqu'à ce que vous voyez les options Utiliser SSL 2.0 et Utiliser SSL 3.0.

S'il y a une coche dans ces deux cases, décochez-les en cliquant dessus. Assurez-vous que les cases étiquetées Utiliser TLS 1.o, Utiliser TLS 1.1 et Utiliser TLS 1.2 sont vérifiés. (Si vous ne disposez pas de ces trois zones TLS, vous devez mettre à jour votre Internet Explorer.) Cliquez ensuite sur le bouton Appliquer bouton, et le D'accord bouton. Votre Internet Explorer est maintenant protégé contre POODLE.

Firefox

Si vous êtes un fan de Firefox, voici comment aider le renard à déjouer le POODLE. Allez simplement sur la page du module complémentaire SSL Version Control 0.2 de Firefox, puis téléchargez et installez le module complémentaire SSL Version Control 0.2. C'est si facile.

Firefox a également annoncé que sa prochaine version, Firefox 34, désactivera la prise en charge de SSLv3. Cependant, cette version ne sera publiée qu’en novembre, selon leur site Web..

POODLE sera poché

Une fois que la majorité des utilisateurs ne verront pas leurs navigateurs et que la majorité des serveurs Web cesseront d’utiliser SSLv3, POODLE ne posera plus aucun problème. Il existe également un outil appelé TLS_FALLBACK_SCSV qui a été développé et que les serveurs Web et les programmeurs de navigateurs peuvent implémenter pour vous aider. Malheureusement, cet outil nécessite à la fois le serveur Web et le navigateur. Cela prendra un certain temps pour tout le monde à mettre en œuvre. Alors seulement, SSLv3 disparaîtra, comme il se doit il y a une décennie. Passez le mot et faites du Web un endroit plus sûr.

Crédits image: Caniche en colère, Image vectorielle HTTPS via Shutterstock.

Explorez plus sur: Cryptage, Sécurité en ligne.