https://www.viestintavirasto.fi/tietoturva/tietoturvanyt/2014/10/ttn201410151412.html
Toimintaa, toimintaa oitis.
Toimintaa, toimintaa oitis.
Viestintäviraston selain turva-ohjeita
kaikki huomio
45234
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 45
Vanhimmat
Eipä tunnu ketään kiinnostavan.
Tein tarvittavan selainasetuksen jo eilen.
"Nyt paljastunut hyökkäys perustuu siihen, että selainliikenne pakotetaan käyttämään vanhaa SSL 3.0-protokollaa uudempien TLS-protokollien sijaan. Hyökkäys kuitenkin edellyttää ns. välimiesasemaa (Man-in-the-Middle), jossa hyökkääjä pääsee kuuntelemaan ja muokkaamaan uhrin ja palvelimen välistä verkkoliikennettä. Tällainen tilanne saattaa syntyä esimerkiksi suojaamatonta langatonta lähiverkkoa käytettäessä."
Käytän langallista laajakaistaa. Tarviiko minun tehdä mitään?
Kyllä niitä johtojakin voi kuunnella joten jos ihan varman päälle haluaa pelata niin kannattaahan noin pieni ja yksinkertainen selainasetus tehdä. IE:ssä riitti yhden ainoan ruksin poisto.
Tuleeko noihin päivitykset jotka korjaa ongelman?
En nimittäin käy millään ihme sivustoilla, joten ei ole akuuttia tarvetta tehdä mitään.
"Käytän langallista laajakaistaa. Tarviiko minun tehdä mitään?"
Kyllä siihenkin voi päästä väliin.
Oletettavasti vuoden sisällä on joka paikaista korjattu.
"Tuleeko noihin päivitykset jotka korjaa ongelman? "
Ei tule. Kyseessä ei ole mikään varsinainen korjattavissa oleva bugi vaan ikiwanhan protokollan heikkous jota ei voi korjata muulla tavalla kuin lopettaa sen käyttäminen kokonaan.
Siis ainoa "korjaus" on se että tulevat selainversiot eivät enää tue SSL3:a ainakaan oletusasetuksilla.
https://blog.mozilla.org/security/2014/10/14/the-poodle-attack-and-the-end-of-ssl-3-0/
Kyllä tulee. Jopa Firefoxin lisäosa kertoo että:
"Soon to be disabled by default."
Tarviiko noihin muihin selaimiin tehdä muutoksia? Firefoxia käytän surffaamiseen.
"Soon to be disabled by default."
Google käännös: "Pian oletuksena pois päältä"
Eli Firefox korjataan niin että koko SSL3 lakkaa toimimasta oletusasetuksilla tulevissa Firefoxeissa joka onkin ainoa mahdollinen "korjaus" jonka voi tehdä. Varmaan muutkin seuraavat perässä mutta sitä ennen voi tehdä näin:
Tästä ruksi pois niin homma on hoidettu http://aijaa.com/QRpQs6
Mutta tarviiko sitä tehdä, käytän Firefoxia surffaamiseen?
Tuo http://aijaa.com/QRpQs6 poistaa ongelman vain IE:stä. Firefoxille on omat ohjeet.
Ei tarvitse, kun käytät Firefoxia.
Firefoxin korjaava lisäosa on jo ladattu, voinko siis jättää muut selaimet huomiomatta koska en juuri niitä käytä?
Onko kellään tietoa koska tämä on default asetuksena selaimessa, eli koska voi tämän Firefoxin lisäosan poistaa?
Kyllä tarvitsee jos haluaa haavoittuvan SSL3:n pois käytöstä.
http://kb.mozillazine.org/Security.tls.version.*
Vasta tulevassa Firefox 34:ssä ei enää tarvitse.
https://blog.mozilla.org/security/2014/10/14/the-poodle-attack-and-the-end-of-ssl-3-0/
"...koska tämä on default asetuksena selaimessa..."
On. Tulevassa 34:ssä on jo kunnossa.
Niin, eli vuoden sisällä korjattu. Siinä ajassa joka selaimesta on uudempi versio.
Juu, siinä menee vielä 1.5kk ennen kuin tuo julkaistaan. Ja itse just päivitin viimeisen Firefox 24 ESR:n -> 31 ESR:n jolla menee varmaan noin vuosi.. Eli ei tuo ongelma hetkessä katoa ellei siihen reagoi.
Tarkoitti varmaan sitä ettei muita selaimia kuin Firefox tarvi huomioda, jollein niillä mulla surffaa.
Onko näin?
Juu, juuri noin.
No eipä esim. vistan ie:hen ole tullut uusia versioita enään aikoihin. tueelko enään seiskallekaan vai jääkö IE11 viimeiseksi.
Joo, totta. Toki sellainen "korjaus" / korjaus voi tulla Windows Updateen jakoon että se poistaa SSL3:n pois käytöstä kaikissa IE versioissa joka riittää tämän ongelman ratkaisuksi.
Jos käytät Firefoxia, ei sinun tarvitse säätää toisia selaimia. Tuota kait kysyjä tarkoitti...
Ok. Pitää paikkansa, vain sitä selainta tarvitsee säätää jota käyttää.
Nuo on antiikkia muutenkin. Windows Vistan tuki kyllä loppuu vuoden vaihteessa 2017, eli jos tuon haluaa huomioida niin reilu vuosi. Sittenhän se Vista pitäisi irrottaa julkisesta verkosta.
Joo, mutta tuleeko noihin selaimiin päivitysksiä jotka korjaa asian. Tuntuu olevan ilmassa sitä että saa tehdä 150 asiaa että selain/kone on ok.
Ei riitänyt tuo määrä eilen Win 7:n päivityksissä.
Sellainen korjaus tulee että koko SSL3 lakkaa jossain vaiheessa kokonaan toimimasta.
https://blog.mozilla.org/security/2014/10/14/the-poodle-attack-and-the-end-of-ssl-3-0/
"..150 asiaa että selain/kone on ok."
Yhden ainoan ruksin poisto riitti IE:ssä.
"Joo, mutta tuleeko noihin selaimiin päivitysksiä jotka korjaa asian."
Vuoden sisällä pitäisi olla kunnossa. Sen aikaa on vaarallista jos ei säädä.
"Tuntuu olevan ilmassa sitä että saa tehdä 150 asiaa että selain/kone on ok."
Kyllä, aina on noin sen verran asioita ja muuttuu kokoajan. Noin 5pv välein jostain päin löytyy turvareikä johon pitäisi reagoida ja näin on ollut niin kauan kun koneet kytkettiin nettiin.
Eipä huolta jos käyttää Ubuntua. Siellä on jo oletuksena
"Vaihtoehtoisesti Firefoxin asetussivulta (about:config) voi asettaa avaimen security.tls.version.min arvoon 1."
Vastaava asetus näyttää:
security.tls.version.min;0
Ei edes tarvi poistella tyhjää.
Jos oletusasetus on "security.tls.version.min;0" joka näyttää olevan FF:n oletusasetus niin säätöä täytyy tehdä.
"0
SSL 3.0 is the minimum required / maximum supported encryption protocol. (This is the current default for the minimum required version.) "
http://kb.mozillazine.org/Security.tls.version.*
Miten joku ubuntu nyt liittyy tähän koko asiaan yhtään mitenkään?
Niin eipä siinä (Ubuntu) ole mitään tietoturva ongelmia muutenkaan.
Toisekseen ei kai winukka intoilijat Ubuntusta mitään ymmärrä ollenkaan. Joten miksi tuollaisella vaivaat päätäsi?
Keskity vain olennaiseen.
Tämä POODLE haavoittuvuus koskee aivan täysimääräisesti myös ubuntua kun ubuntun oletus-selain on Firefox joka hyväksyy vielä oletusasetuksilla SSL3 suojausprotokollan joka on haavoittuva.
Kerro mihin asentoon tuo pitää vääntää Ubuntussa.
Askubuntu foorumilla on hyvät ohjeet ongelman korjaamiseksi ubuntussa ja taustatietoa tästä haavoittuvuudesta ubuntua koskien:
http://askubuntu.com/questions/537196/how-do-i-patch-workaround-sslv3-poodle-vulnerability-cve-2014-3566
Tässä koko korjaus pähkinänkuoressa jos käytät Firefoxia ubuntussasi : http://aijaa.com/RXbFjX
"Niin eipä siinä (Ubuntu) ole mitään tietoturva ongelmia muutenkaan."
Kyllä on. Sekin tarvitsee säännöllistä ylläpitoa ja turvareikien tukkimista. Toki sitä voi automatisoida, kuten Windows 8.x:ää voi myös.
Windows 7 kyllä vaatii todella paljon manuaalista hyysäystä.
security.tls.version.min;0 -> 1
Korjaantuu kyllä 1.5kk kuluttua päivityksissä. Voisi kuvitella, että IE12 tulee myös pian ja että olisi siitä korjattu.
Tiedoksi tämäkin:
"Oracle julkaisi 155 päivitystä 44 eri tuotteeseensa. Päivityksistä 25 koskee huonosta tietoturvasta usein arvosteltua Java-ohjelmistoa."
Kuka vielä jaksa uskoa Javan turvallisuuteen?
Javalla ei ole juurikaan tekemistä selaimen kanssa.
Tuota Javaa päivitettiin viimeeksi 3kk sitten, eli rykäisivät nyt vähän enemmän yhdellä kertaa. Saa vapaasti katsoa mitä ovat korjanneet sieltä, että onko niissä sovelluksissa mitä itse käyttää, mitään sellaista mikä liikuttaisi millään tavalla omaa käyttöä.
Luin ketjun, mutta en löytänyt vastausta siihen miten tuon haavoittuvuuden voi korjata Foxissa. Jokin lisäpalikan asennus?
IE on varaselaimena ja siihen tein eilen tarvittavan muutoksen, täppi vain pois ko. kohdasta.
lisäpalikka firefoxiin https://addons.mozilla.org/en-US/firefox/addon/ssl-version-control/
http://ra.fi/IT19
@ Fox-fox
Olisit vaivautunut lukemaan aloituksen linkin,
sieltä olisi selvinnyt.
Thank's. Palikka on nyt asennettuna ja turvatilanne optimoituna.