POODLE (SSLv3)
Padding Oracle On Downgraded Legacy Encryption
Erreur connexe
« This server has SSLv3 protocol enabled and is vulnerable to Poodle (SSLv3) attack. Disable SSLv3 protocol on the server » (Le protocole SSLv3 est activé pour ce serveur. Or, ce serveur est vulnérable aux attaques Poodle (qui affectent SSLv3).
Problème
En 2014, des chercheurs Google ont découvert une vulnérabilité dans le protocole SSL 3.0 qui reproduisait la vulnérabilité POODLE (Padding Oracle On Downgrading Legacy Encryption).
Si le protocole SSL 3.0 est activé, un intercepteur peut intercepter les connexions chiffrées et en calculer le texte en clair.
Les vulnérabilités ou failles de sécurité du protocole SSL 3.0 sont les suivantes :
L’intégrité des messages est fragile.
Vulnérabilité aux attaques de type MITM
La façon la plus efficace de parer à l’attaque POODLE est de désactiver le protocole SSL 3.0.
Solution
Côté serveur
Désactivez le protocole SSL 3.0 sur les serveurs et activez le protocole TLS 1.2 ou 1.3.
Côté client
Outre ces solutions, DigiCert recommande de désactiver le protocole SSL 3.0 et d’activer les protocoles TLS (1.2 ou 1.3) côté client.