نماد سایت اتاق خبر شبکه گستر

اصلاحیه موقت مرورگر IE برای مقابله با POODLE

دو هفته بعد از اعلام روش جدید برای سوء استفاده از ضعف امنیتی در پودمان SSL 3.0 شرکت مایکروسافت راه حل موقتی برای مرورگر Internet Explorer ارائه کرد تا مانع از این سوء استفاده شود. روش جدید سوء استفاده از SSL 3.0 که توسط کارشناسان Google ابداع شده POODLE نام دارد.

با سوء استفاده از پودمان قدیمی SSL 3.0 به روش POODLE می توان به اطلاعات رمزگذاری شده ارسالی بین کاربر و سرور سایت های اینترنتی دسترسی پیدا کرد. از جمله می توان Session Cookies کاربر را سرقت کرده و اقدام به جعل هویت او کرد.

هنوز دو هفته به نوبت انتشار اصلاحیه های ماهانه مایکروسافت مانده است و بعید به نظر می رسد که در این مدت، این شرکت اقدام به انتشار اصلاحیه فوق العاده و خارج از برنامه ماهانه خود کند. ولی درعوض، اکنون راه حل موقت و خودکاری برای غیرفعال کردن پودمان SSL 3.0 در مرورگر IE ارائه کرده است.

این راه حل موقت که به Fixit معروف است، بر روی سایت مایکروسافت قابل دسترسی و دریافت است.


بیش از ۱۵ سال از عمر پودمان SSL 3.0 می گذرد ولی هنوز هم مرورگرها و سرورها از آن استفاده می کنند. مرورگرهای اینترنت به نحوی تنظیم شده اند که از جدیدترین نسخه SSL یا TSL استفاده کنند. ولی اگر سروری سازگار با TSL نباشد و تنها از SSL 3.0 پشتیبانی کند، مرورگر هم تغییر روش داده و از SSL 3.0 برای تبادل اطلاعات با آن سرور استفاده می کند. عبارت TSL مخفف Transport Layer Security است.

کارشناسان Google نوعی حمله به نام POODLE یا Padding Oracle On Downgraded Legacy Encryption را طراحی کرده اند که ارتباط بین کاربر و سرور را وادار به استفاده از SSL 3.0 می کند و سپس با سوء استفاده از نقطه ضعف در این پودمان، قادر به رمزگشایی قسمتی از اطلاعات رمزگذاری شده، می شوند. کلمه POODLE نام نژادی از سگ است.

Mozilla تنها سازنده مرورگر است که به صراحت و روشنی برنامه کاری خود را برای مقابله با POODLE اعلام کرده است. طبق اطلاعیه موسسه Mozilla پودمان SSL 3.0 در نسخه Firefox 34 بطور پیش فرض غیرفعال خواهد شد.

Google زمان مشخصی برای غیرفعال کردن پودمان SSL 3.0 اعلام نکرده است و تنها قول چند ماه آینده را داده است. البته مرورگر Chrome و سرورهای تحت وب Google از راهکاری برای جلوگیری از تنزل پودمان SSL یا TSL به نسخه های قدیمی و آسیب پذیر استفاده می کنند که می تواند در برابر حملات POODLE بسیار کارساز باشد.

Microsoft نیز اعلام کرده است که طی ماههای آینده، غیرفعال بودن پودمان SSL 3.0 را در مرورگر IE به حالت پیش فرض در خواهد آورد. مرورگر Internet Explorer از روش های رمزگذاری سیستم عامل Windows استفاده می کند و خود بطور مستقل پودمان های امن را در مرورگر ندارد. لذا هرگونه تغییری در استفاده از پودمان های امن SSL و TSL باید در سیستم عامل Windows انجام شوند.

شرکت Apple اصلاحیه ای برای نسخه های مختلف سیستم عامل Mac OS X منتشر کرده تا این سیستم عامل را در برابر حملات POODLE محافظت کند. ولی بررسی ها بر روی سیستم های به روز شده نشان می دهد که مرورگر Safari همچنان در مقابل POODLE آسیب پذیر است.

 

خروج از نسخه موبایل