14 жовтня 2014 року для захисту від вразливості POODLE було рекомендовано впровадження механізму TLS_FALLBACK_SCSV, який запобігає примусовому зниженню версії протоколу до SSL 3.0.
Повідомлення Google Security Team від 14 жовтня 2014 року наголошує на важливості використання TLS_FALLBACK_SCSV. Цей механізм запобігає ситуаціям, коли зловмисник перериває спроби встановлення безпечного з'єднання (наприклад, TLS 1.2), змушуючи браузер або клієнтську програму «відкотитися» до вразливого протоколу SSL 3.0. Впровадження цього стандарту дозволяє серверу розпізнати, що клієнт підтримує вищу версію протоколу, і відхилити спробу зниження версії.
Рекомендації:
- Перевірте підтримку TLS_FALLBACK_SCSV на всіх вебсерверах та серверах додатків.
- Оновіть бібліотеки OpenSSL та інші криптографічні стеки до версій, що підтримують цей механізм.
- Проведіть тестування з'єднань, щоб переконатися, що клієнти, які підтримують сучасні протоколи, не можуть бути примусово переведені на SSL 3.0.
Захист від атак на зниження версії протоколу
Атаки типу «downgrade attack» становлять серйозну загрозу для конфіденційності даних, оскільки вони змушують системи використовувати слабкі протоколи, такі як SSL 3.0. Впровадження механізму TLS_FALLBACK_SCSV є необхідним захисним бар'єром, який гарантує, що клієнт і сервер домовляться про використання найбезпечнішого доступного протоколу, запобігаючи маніпуляціям з боку зловмисників.
Практичний крок: Перевірте налаштування ваших вебсерверів та криптографічних бібліотек на підтримку TLS_FALLBACK_SCSV. Зверніться до Softline за допомогою у налаштуванні безпечних протоколів передачі даних та проведенні тестування стійкості вашої інфраструктури до атак на зниження версії протоколу.
Використані джерела
- security.googleblog.com (security.googleblog.com)