Bilgi Bankası: Linux
SSLv3 POODLE (CVE-2014-3566)
Posted by Veri Merkezi Operasyonları(287) on 24 February 2015 12:47 PM

SSLv3 POODLE Nedir
SSLv3 POODLE (Padding Oracle On Downgraded Legacy Encryption) zafiyeti bir çeşit kriptografik tasarım zafiyetidir. Zafiyet esas olarak SSLv3’ün kripto bloğunun sonuna eklenen padding bitlerinin içeriğini belirlememesi ve önce deşifre sonra kimlik doğrulama işlemini yapmasından kaynaklanmaktadır.

Bu açık sayesinde bir saldırgan 1/256 ihtimalle SSLv3 ile şifrelenmiş trafiği başarılı bir şekilde deşifre edebilir. Bu ihtimal bir byte içindir, dolayısıyla toplamda N byte’lık bir veriyi deşifre etmek için ortalama 256*N adet deneme yapmak gerekmektedir.  SSLv3 POODLE hakkında detaylı bilgi için aşağıdaki dökümantasyonu incelemenizi öneririz.

https://access.redhat.com/solutions/1232413

http://blog.bga.com.tr/2014/10/sslv3-poodle-zafiyeti.html

Azure Pack platformu üzerinde oluşturulan Linux CentOS 6 sunucular üzerinde aşağıdaki adımlarla SSL version 2 ve 3 'ü kapatabilirsiniz. SSLv2 varsayılan olarak kapalı durumda görülmektedir. İlgili satırının yanına disable durumda olacak SSL versiyonunu ekleyebilirsiniz

#vi /etc/httpd/conf.d/ssl.conf

#SSLProtocol all -SSLv2 -SSLv3

Alternatif olarak diğer tüm SSL protokollerini iptal ederek yalnızca kullanmak istediğiniz SSL protokolünü seçebilirsiniz. Buna göre ( + ) ile gösterilen protokollere izin verilmiş, bunun haricindeki tüm protokoller ( - ) ile gösterilen pasif durumadadır.

#SSLHonorCipherOrder On
#SSLProtocol -All  +TLSv1 +TLSv1.1 +TLSv1.2

Bu işlem sonrasında web serveri restart ediniz.

#/etc/init.d/httpd restart

(1 oy)
Bu makale yararlı
Bu makale yararlı değil

Yorumlar (0)
Yorum gönder
 
 
Tam İsim:
E-Posta:
Yorumlar:
Resim Doğrulama 
 
Lütfen alttaki resimde gördüğünüz karakterleri aşağıdaki kutucuğa girin. Bu özellik otomatik kayıt ve form gönderilerini engellemek için uygulanmaktadır.