POODLE (SSLv3)
Padding Oracle On Downgraded Legacy Encryption
Erro relacionado
“Este servidor tem o protocolo SSLv3 habilitado e é vulnerável ao ataque Poodle (SSLv3). Desative o SSLv3 no servidor."
Problema
Em 2014, pesquisadores do Google descobriram uma vulnerabilidade no protocolo SSL 3.0 apelidado de vulnerabilidade "POODLE" (Padding Oracle On Downgrade Legacy Encryption).
Enquanto o protocolo SSL 3.0 está habilitado, um MITM (man-in-middle) pode interceptar conexões criptografadas e calcular o texto simples das conexões interceptadas.
As vulnerabilidades/falhas de segurança do SSL 3.0 são:
Integridade da mensagem não é protegida.
Vulnerável ao ataque MITM.
A forma mais eficiente de combater o ataque POODLE é desabilitar o protocolo SSL 3.0.
Solução
Lado do servidor
Desabilite o protocolo SSL 3.0 no servidor e habilite TLS 1.2 ou 1.3.
Lado do cliente
Além disso, a DigiCert recomenda desabilitar o protocolo SSL 3.0 e habilitar os protocolos TLS (1.2 ou 1.3) no lado do cliente.