Topic: Poodle, il barboncino che legge i dati delle connessioni cifrate (SSLv3) con cifratura a blocchi

[miki64]

In questa discussione (che sto capendo sempre meno...  ) c'è chi mia ha scritto in PM sottolineandomi che anche non cambiando niente nei parametri di configurazione di  Firefox dice "not vulnerable" ma il sito di controllo proposto non è lo stesso che è postato su ilsoftware.it.
C'è chi ha fatto il test su https://www.ssllabs.com/ssltest/viewMyClient.html
Lì, se non si mette il parametro a 1 risulta vulnerabile, lo stesso per quanto riguarda Chrome.

Ma nella risposta al topic parlate tutti di di Firefox 32 bit (e chi ha Firefox 64 bit?) e non di Thunderbird.
Se ho ben capito quanto postato da Iceberg, anche Thuderbird è alla stessa stregua di Firefox:"Firefox is less likely to downgrade to SSLv3 if the server follows best practices on cipher selection, even if SSLv3 is still supported".

In PM quindi mi hanno chiesto: per quanto riguarda Thunderbird, se si cambia l'impostazione da SSL/TLS a START/TLS appariranno errori o tutto va come sempre?

Chi ha provato dice di avere risolto! Ha cambiato l'impostazione nell'editor di configurazione di Thunderbird impostando TLS su 1. Se cambiate SSL/TLS su START/TLS non va.
Meglio di niente, vero?

[gialloporpora]

Thunderbird non è vulnerabile perché quella debolezza in pratica non può essere utilizzata con TB.

Il rischio è che se il server supporta ancora solo SSLv3 per le connessioni cifrate (ok, con gmail, yahoo e outlook questo non accade) non scarichi più la posta. 
Magari con qualche mail nostrana potrebbe pure accadere.
Quindi la modifica non ha praticamente senso perché non hai benefici. 

La storia che Firefox era un po' meglio degli altri se si tenevano le best practices non era proprio vera, ora c'è scritto:

Codice: [Seleziona]

Firefox is picky as to what ciphers it accepts. The test site supports a wide range of ciphers to allow Firefox to connect.
[/quote]

che è più plausibile come motivazione del perché non funzionasse, era un prolema del test.
Firefox per fare il downgrade a SSL3 pretende che si usino degli algoritmi di cifratura specifici, gli altri ne accettavano qualcuno in più, comunque utilizzando il giusto algoritmo è vulnerabile.




[Iceberg]

C'è il seguito:

http://www.ilsoftware.it/articoli.asp?tag=Il-ritorno-di-POODLE-intercettare-dati-in-transito_11613

[gialloporpora]

Uhm, ma in about:config non c'è una preferenza per limitare il numero di richieste?
Li parlano di 4096== 256*16 richieste (penso ce ne vogliano meno con un po' di fortuna), sinceramente non me ne intendo, ma una normale pagina web prendiamo una FB che usa molto ajax quante richieste fa di media?
Perché a me sembrano tante pure 200.

Bel bug, comunque.

[gialloporpora]

PS: leggo qui
ImperialViolet - The POODLE bites again

However, if an SSLv3 decoding function was used with TLS, then the POODLE attack would work, even against TLS connections.

se non ricordo male la differenza fra Chrome e Firefox nel test per il primo Poodle è che Firefox non accettava si usassero degli algoritmi di cifratura chiaramente definiti per quel protocollo, quindi, boh, forse Firefox potrebbe pure essere immune da questo.
Sai se c'è un test? (non quello per i server)