Google mengumumkan kerentanan dalam protokol SSLv3 itu
... memungkinkan plaintext koneksi aman untuk dihitung oleh penyerang jaringan.
Kerentanan ini telah diberi sebutan CVE-2014-3566 dan nama pemasaran POODLE.
Jika saya memiliki situs web di ` https://www.example.com/ , bagaimana saya bisa tahu apakah kerentanan ini memengaruhi saya?
Jawaban:
Dengan munculnya POODLE, semua suite sandi yang digunakan oleh SSLv3 telah dikompromikan, dan protokol tersebut harus dianggap rusak yang tidak dapat diperbaiki.
Anda dapat memeriksa apakah situs web Anda tersedia melalui SSLv3 dengan curl(1):
curl -v -3 -X HEAD https://www.example.com
The -vbergantian argumen pada verbose output, -3pasukan meringkuk menggunakan SSLv3, dan -X HEADmembatasi output pada koneksi sukses.
Jika Anda tidak rentan, Anda seharusnya tidak dapat terhubung, dan output Anda akan terlihat seperti ini:
* SSL peer handshake failed, the server most likely requires a client certificate to connect
Jika Anda rentan, Anda akan melihat output koneksi normal, termasuk jalur:
* SSL 3.0 connection using SSL_NULL_WITH_NULL_NULL
Bukan hanya situs web yang tersedia melalui SSL. Mail, irc, dan LDAP adalah tiga contoh layanan yang tersedia melalui koneksi aman, dan juga rentan terhadap POODLE ketika mereka menerima koneksi SSLv3.
Untuk menghubungkan ke layanan menggunakan SSLv3, Anda dapat menggunakan perintah:openssl(1) s_client(1)
openssl s_client -connect imap.example.com:993 -ssl3 < /dev/null
The -connectArgumen mengambil hostname:portparameter, yang -ssl3argumen membatasi versi protokol dinegosiasikan untuk SSLv3, dan pipa di /dev/nulluntuk STDINsegera mengakhiri hubungan setelah membukanya.
Jika Anda berhasil terhubung, SSLv3 diaktifkan; jika Anda mendapatkan ssl handshake failuremaka tidak.
Ada pertanyaan dan jawaban yang sangat baik pada Security SE: /security/70719/ssl3-poodle-vulnerability
SSL .*connection using .*_WITH_.*setara dengan kegagalan?
Jika Anda ingin melakukan pemeriksaan cepat, buka URL di bawah ini. Ia melakukan pekerjaan yang cukup baik mengikuti semua hal SSL, termasuk memeriksa POODLE.
curl's-vbendera membawa argumen; dapatkah Anda mengkonfirmasi apa yang Anda tulis di atas? Atau jika itu membutuhkan versi tertentucurl, itu akan berguna untuk diketahui juga.