Dopo ShellShock che ha messo in allerta molti amministratori, siamo di fronte a una nuova falla, questa volta sul protocollo SSLv3.
Si chiama Poodle, la minaccia che incombe nell ultima versione del protocollo SSL, che consente di cifrare il traffico tra un browser e un sito web o tra un client e un server di posta.
E’ possibile sfruttare l’exploit, mediante la tecnica del Man-In-The-Middle, consentendo ad un malintenzionato di decifrare i cookie per ottenere informazioni sensibili, che consentono di accedere ai vari servizi on line.
Per approfondire la questione, vi riportiamo un documento dove viene descritto nei dettagli l’exploit.
Stiamo parlando dell’ultima versione di un protocollo di cifratura, usato per offrire servizi web, che fino a qualche giorno fa erano considerati “affidabili” sul lato sicurezza, mentre adesso si deve correre ai ripari.
Vi forniamo un fix da implemetare nella struttura dei VirtualHost per prevenire l’attacco.
Dopo l’istruzione SSLEngine on inserire:
SSLProtocol All -SSLv2 -SSLv3 SSLProtocol All -SSLv2 -SSLv3 SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGC$ SSLHonorCipherOrder on SSLCompression off |
Questa non sarà la soluzione definitiva, ma un rimedio temporaneo per poter decidere quale altro protocollo utilizzare, come per esempio TLS.