En seis semanas Tiempo Google están lanzando nueva versión de su navegador para impedir Depender de un error de los SSL 3.0 Certificado.
Como escribimos a principios de este mes Google descubrió un flujo en el SSL 3.0 certificado de sitios web y servidores que permiten a los atacantes robar información de los usuarios. El defecto encontrado se llama oficialmente Relleno Oracle On Degradado cifrado Legado (CANICHE). Lo que hace es que permite a los piratas informáticos para robar información y las cookies de los usuarios por el llamado Man-in-the-Middle (MITM) técnica, depender de conexiones no seguras donde llevan a los usuarios a volver a caer en las versiones anteriores, como el certificado arriba mencionado.
Google ha anunciado que lanzará una nueva versión de su navegador Chrome en un plazo de seis semanas para eliminar ese defecto. La capacidad de la versión del navegador para caer de nuevo en los servidores equivocados o con errores será desactivado por defecto.
'SSLv3-repliegue sólo se necesita para apoyar los servidores HTTPS con errores. Los servidores que soportan correctamente sólo SSLv3 seguirá trabajando (Por ahora) pero algunos servidores con errores pueden dejar de funcionar. La respuesta en estos casos es fijar el servidor — TLS 1.0 es casi 15 años de edad en este momento ', Adam Langley, un ingeniero de seguridad de Google, dicho en un post el anuncio de la liberación.
Al carecer de la hora de traducir el error para los usuarios que caen de nuevo a los servidores con errores, Versión de Chrome 39 sólo se mostrará un mensaje de error que indica 'ERR_SSL_FALLBACK_BEYOND_MINIMUM_VERSION’ para identificar el problema. Una insignia amarilla en la barra de direcciones del navegador avisará a los usuarios cuando entran en los sitios de trabajo con SSL 3.0 y éstos tendrán que ser actualizados al menos TLS 1.0 antes de Chrome 40 se libera.
→'Sin embargo, la falta de una insignia amarilla no significa que todo va a estar bien, ya que podría todavía ser subresources de la página que se sirven a través de conexiones SSLv3. Los desarrolladores pueden ejecutar Chrome con –ssl-versión-min = TLS1 con el fin de poner a prueba sus sitios. ', El post de Langley continúa.
Google Chrome 40 se debe a ser puesto en libertad de cada doce semanas, es decir. 6 semanas después del lanzamiento de Chrome 39 y SSL 3.0 apoyo se eliminará por completo en su código. Esto es con la condición de que todos los servidores se actualizan a TLS 1.0 versión al menos por entonces, aunque.
'En el tiempo, Soporte de cliente SSLv3 se eliminará a partir del código, así que cualquier persona volver a habilitar SSLv3 y / o de reserva para que a través de la política, opciones de línea de comandos o sobre:banderas no deberán considerar que como una solución a largo plazo "., advierte el mensaje.
A principios de este mes con el fin de prevenir los ataques POODSLE Mozilla también ha anunciado que estarán lanzando una nueva versión del navegador - Mozilla 34. Es debido en noviembre 25.
Los usuarios que trabajan con Internet Explorer de Microsoft pueden solicitar una solución para evitar que el problema, siguiente Guía Microsofts aquí.
Sin embargo, utilizando conexiones VPN seguras, especialmente en lugares públicos, sigue siendo la mejor protección contra estos ataques.
