¿Cuándo a la gente no le gusta un cachorro? Cuando saben que no es un cachorro, sino un exploit browser destinado a robar su información vital. El POODLE ( P añadiendo O racle O n D Owngraded L egacy E ncryption) del que estamos hablando es un grave ataque de seguridad.
Como una vulnerabilidad de seguridad, puede afectar a todos los navegadores web y, por lo tanto, a cualquiera de nosotros. Descubramos qué es POODLE, qué hace y qué puede hacer para evitar que lo muerda.
Información de fondo
Para entender POODLE, necesita saber un poco sobre SSL y TLS Qué es HTTPS y cómo habilitar las conexiones seguras por defecto Qué es HTTPS y cómo habilitar las conexiones seguras por defecto Las preocupaciones de seguridad se están extendiendo a lo largo y ancho y han alcanzado la vanguardia la mente de todos. Los términos como antivirus o firewall ya no son un vocabulario extraño y no solo son entendidos, sino que también son utilizados por ... Leer más. Son dos protocolos criptográficos que se desarrollaron para ayudar a proteger sus comunicaciones web importantes. Cuando va a un sitio web y ve HTTPS: // antes de la dirección web, está utilizando SSL / TLS. SSL ( S ecure S ocket L ayer) y TLS ( T ransport S uridad L ayer) son dos protocolos muy diferentes, pero la mayoría de la gente simplemente los combina y los llama SSL. En realidad, SSL fue reemplazado por el protocolo TLS hace unos diez años como el estándar de facto para la criptografía, sin embargo, el SSL todavía se utiliza ampliamente. Eso es lo que hace que POODLE sea peligroso.
Cuando visita un sitio web, la computadora que le sirve la página (servidor web) tiene varios niveles de seguridad de cifrado, desde TLSv1.2, el protocolo más reciente y seguro, hasta SSLv3, el protocolo más antiguo y menos seguro. Esto permite que su navegador y el servidor web puedan conectarse con el mismo protocolo para que puedan hablar de forma segura. Esta es la forma fundamental en que los navegadores web y los servidores intentan evitar los ataques de hombre en el medio. ¿Qué es un ataque de hombre en el medio? Jerga de Seguridad Explicada ¿Qué es un ataque Man-in-the-Middle? Explicación de jerga de seguridad Si ha oído hablar de ataques de "hombre en el medio" pero no está seguro de lo que eso significa, este es el artículo para usted. Lea más, como POODLE.
¿Qué hace POODLE?
POODLE intenta forzar la conexión entre su navegador web y el servidor para degradar a SSLv3. Si lo hace, el atacante puede obtener la información de texto sin formato de la comunicación. Eso significa que pueden acceder a las cookies que a menudo se usan para almacenar información, algunas de las cuales pueden ser de carácter personal y confidencial. ¿Qué es una cookie y qué tiene que ver con mi privacidad? [Explicaciones de MakeUseOf] ¿Qué es una cookie y qué tiene que ver con mi privacidad? [Explicaciones de MakeUseOf] La mayoría de la gente sabe que hay cookies diseminadas por Internet, listas y dispuestas a ser devoradas por quienquiera que las encuentre primero. ¿Esperar lo? Eso no puede ser correcto. Sí, hay cookies ... Leer más. Lo que el atacante hace con esa información es una incógnita, pero nunca es nada bueno.
Por el lado positivo, el ataque de POODLE no es la forma más fácil para que un atacante obtenga su información. Puede tomar cientos, incluso miles, de intentos para que el ataque de POODLE funcione en alguien. Por lo tanto, es algo de lo que hay que preocuparse, sin embargo, no es necesariamente tan malo como el reciente problema de Heartbleed Heartbleed: ¿qué puedes hacer para mantenerte a salvo? Heartbleed: ¿qué puedes hacer para mantenerte seguro? Lee mas .
¿Cómo puedo protegerme de POODLE?
Afortunadamente, es algo bastante fácil de hacer. Lo primero es lo primero, veamos si eres vulnerable de POODLE. Simplemente vaya al sitio web POODLETest.com. Si ves un caniche, tienes algo de limpieza para hacer. Si ves Springfield Terrier, tu navegador está listo para funcionar. Para aquellos que son más conocedores de la tecnología, echa un vistazo a la Prueba de Cliente SSL de Qualys SSL Labs. Proporciona detalles más detallados.
El principio subyacente es deshabilitar la compatibilidad con SSLv3 en su navegador web. Si está deshabilitado, POODLE NO puede degradar su navegador a él. Veamos cómo hacer esto en Chrome, Internet Explorer y Firefox.
Tenga en cuenta que muchos sitios web aún desean usar SSLv3. Si lo deshabilita, es posible que esos sitios no funcionen tan bien para usted como lo hicieron alguna vez. No estaría de más enviar a la empresa un buen correo electrónico con un enlace a este artículo para que se den cuenta del problema. Con suerte, se actualizarán a TLS y todo estará bien de nuevo.
Cromo
Encuentra el acceso directo que usas para iniciar Chrome. Haga clic derecho sobre él y luego haga clic en Propiedades .
Cuando se abre la ventana de Propiedades, encuentre el campo llamado Target . Debe haber un largo camino hacia donde se encuentra el archivo Chrome. Debería verse así: "C: \ Archivos de programa (x86) \ Google \ Chrome \ Application \ chrome.exe" o "C: \ Archivos de programa \ Google \ Chrome \ Application \ chrome.exe" .
Haga clic justo después de la última comilla y presione la barra espaciadora para crear un espacio. Ahora escriba lo siguiente:
--ssl-version-min = tls1
Podrías copiar y pegar eso desde aquí también. Lo que le dice a Chrome que haga es usar TLSv1 como la versión más baja de seguridad para su navegador Chrome. Haga clic en el botón Aplicar en la parte inferior de la ventana, y la próxima vez que abra Chrome, será a prueba de POODLE.
explorador de Internet
Abra su navegador de Internet Explorer y haga clic en el icono de Configuración . Es el que parece un engranaje. Ahora haga clic en las opciones de Internet . Una nueva ventana se abrirá.
En el extremo derecho, verá una pestaña con la etiqueta Avanzado, haga clic en ella. En el área Configuración, desplácese hacia abajo hasta que vea las opciones Usar SSL 2.0 y Usar SSL 3.0 .
Si hay una marca de verificación en esos dos cuadros, desmárquelos haciendo clic en ellos. Asegúrese de que las casillas etiquetadas Usar TLS 1.o, Usar TLS 1.1 y Usar TLS 1.2 estén marcadas. (Si no tiene los tres cuadros de TLS, debe actualizar su Internet Explorer). A continuación, haga clic en el botón Aplicar y en el botón Aceptar . Su Internet Explorer ahora es a prueba de POODLE.
Firefox
Si eres fanático de Firefox, esta es la manera de ayudar al zorro a ser más astuto que el POODLE. Simplemente vaya a la página Add-On SSL Version Control 0.2 de Firefox, luego descargue e instale el complemento SSL Version Control 0.2. Es fácil.
Firefox también ha anunciado que su próxima versión, Firefox 34, deshabilitará el soporte para SSLv3. Sin embargo, esa versión no se lanzará hasta noviembre, según su sitio web.
POODLE se empobrecerá
Una vez que la mayoría de las personas pruebe sus navegadores a nivel de POODLE y la mayoría de los servidores web dejen de usar SSLv3, POODLE ya no será un problema. También se ha desarrollado una herramienta conocida como TLS_FALLBACK_SCSV que los servidores web y los programadores de exploradores pueden implementar para ayudar. Lamentablemente, esa herramienta requiere tanto el servidor web como el navegador para tenerla. Eso tomará un tiempo para que todos lo implementen. Solo entonces SSLv3 quedará en el camino, como debería haberlo hace una década. Corra la voz y haga de la Web un lugar más seguro para estar.
Créditos de las imágenes: Angry Poodle, imagen vectorial HTTPS a través de Shutterstock.