구글 은 SSLv3 프로토콜의 취약점을 발표

... 네트워크 공격자가 보안 연결의 일반 텍스트를 계산할 수 있습니다.

이 취약점은 CVE-2014-3566 명칭 과 마케팅 이름 POODLE로 지정되었습니다.

` https://www.example.com/에 웹 사이트 가 있다면이 취약점이 저에게 영향을 미치는지 어떻게 알 수 있습니까?

SSLv3이 손상되었습니다

POODLE의 출현으로 SSLv3에서 사용하는 모든 암호 제품군이 손상되었으며 프로토콜은 돌이킬 수 없을 정도로 손상된 것으로 간주해야합니다.

웹 사이트

다음을 사용하여 SSLv3를 통해 웹 사이트를 사용할 수 있는지 확인할 수 있습니다 curl(1).

curl -v -3 -X HEAD https://www.example.com

이 -v인수는 상세 출력을 설정 -3하고 curl이 SSLv3을 사용하도록 -X HEAD하고 성공적인 연결에서 출력을 제한합니다.

취약하지 않은 경우 연결할 수 없으며 출력은 다음과 같아야합니다.

* SSL peer handshake failed, the server most likely requires a client certificate to connect

취약한 경우 다음 라인을 포함하여 정상적인 연결 출력이 표시됩니다.

* SSL 3.0 connection using SSL_NULL_WITH_NULL_NULL

기타 서비스

SSL을 통해 사용할 수있는 웹 사이트 만이 아닙니다. Mail, irc 및 LDAP는 보안 연결을 통해 사용 가능한 서비스의 세 가지 예이며 SSLv3 연결을 수락 할 때 POODLE에 유사하게 취약합니다.

SSLv3을 사용하여 서비스에 연결하려면 다음 명령을 사용할 수 있습니다 .openssl(1) s_client(1)

openssl s_client -connect imap.example.com:993 -ssl3 < /dev/null

-connect인수가 얻어 hostname:port1, 파라미터를 -ssl3인수로하고 SSLv3 협상 프로토콜 버전을 제한 및 파이핑 /dev/null에 STDIN즉시하면을 개방 한 후에 접속을 종료한다.

성공적으로 연결하면 SSLv3이 활성화됩니다. 당신이 ssl handshake failure그것을 얻는다면 그렇지 않습니다.

또한보십시오

Security SE에는 훌륭한 질문과 답변이 있습니다. /security/70719/ssl3-poodle-vulnerability

빠른 확인을하려면 아래 URL로 이동하십시오. POODLE 확인을 포함하여 SSL에 관한 모든 것을 잘 유지합니다.

https://www.ssllabs.com/ssltest/