POODLE (SSLv3)

Padding Oracle On Downgraded Legacy Encryption

Erro relacionado

“Este servidor tem protocolo SSLv3 habilitado e está vulnerável ao ataque Poodle (SSLv3). Desabilite o SSLv3 no servidor."

Problema

Em 2014, pesquisadores da Google descobriram uma vulnerabilidade no protocolo SSL 3.0 chamada vulnerabilidade "POODLE" (Padding Oracle On Downgrading Legacy Encryption).

Enquanto o protocolo SSL 3.0 estiver habilitado, um MITM (man-in-middle-attack) pode interceptar conexões criptografadas e calcular o texto simples das conexões interceptadas.

Vulnerabilidades/falhas de segurança do SSL 3.0:

  • Integridade da mensagem não é protegida
  • Vulnerável ao ataque Man-In-The-Middle

A forma mais eficiente de combater o ataque POODLE é desabilitar o protocolo SSL 3.0.

Solução

Lado do servidor

Lado do cliente

Além disso, a DigiCert recomenda desabilitar o protocolo SSL 3.0 e habilitar os protocolos TLS (1.2 ou 1.3) no lado do cliente.