2014-10-15 - Der kürzlich veröffentlichte Poodle-Angriff erzwingt einen Rückfall einer verschlüsselten Verbindung auf das längst veraltete Protokoll SSLv3. Lässt sich das verhindern?

Ja - meistens!

Ein Poodle Angriff erzwingt in der Verschlüsselung einen Rückfall auf das veraltete Protokoll SSLv3. Aus Kompatibiltätsgründen unterstützen das nahezu alle Browser und auch die Server noch. Wirklich benötigt wird es jedoch eigentlich nicht mehr. Der beste Schutz ist also: abschalten.TLS v1.0 ist seit mehr als 10 Jahren Standard - alle gängigen Client und Server Produkte unterstützen sowohl dieses Protokoll als auch der Nachfolgeversionen.

Schützen Sie Ihren Browser

SSLv3 wird heutzutage nicht mehr benötigt. Bei Internet Storm Center finden Sie eine einfache Seite, die testet, ob Ihr Browser anfällig für Poodle-Angriffe ist. Relativ einfach geht das Abschalten von SSLv3 in Firefox. Dort öffnet man in der Adressleiste about:config, sucht dann nach tls und stellt die Option security.tls.version.min auf 1.

Dies ist im Grunde ungefährlich - Sie kommen damit dem Browser-Hersteller nur etwas zuvor. Mozilla hat bereits angekündigt, SSLv3 in Firefox 34, der am 25. November veröffentlicht werden soll, standardmäßig abzuschalten.

In Chrome ist es ein bisschen aufwändiger, da man den Browser mit der Kommandozeilen-Option --ssl-version-min=tls1 starten muss. Am einfachsten legt man sich einen entsprechenden Shortcut an. Im Internet Explorer kann man in den Internetoptionen unter Erweitert SSL 3.0 verwenden abwählen – und bei der Gelegenheit auch gleich TLS 1.1 und 1.2 aktivieren.

Server und andere Dienste

Alle gängigen Webserver unterstützen in den SSL Optionen TLS in verschiedenen Varianten. Bei anderen Programmen mit verschlüsselter Übertragung sollte Ihr Softwarehersteller auch auf dem neuesten Stand sein.

Quelle: Heise.de (http://www.heise.de/security/meldung/So-wehren-Sie-Poodle-Angriffe-ab-2424327.html)