U Chrome 39 SSL 3 će biti onemogućen po defaultu, u Chrome 40 potpuno uklonjen

Vesti, 02.11.2014, 23:23 PM

Google planira da ukine podršku za ostarelu verziju SSL (Secure Socket Layer) protokola 3.0 u Google Chrome 40, koji bi trebalo da bude dostupan korisnicima za oko dva meseca.

Ova odluka je usledila pošto su Googleovi istraživači nedavno otkrili opasan propust u dizajnu SSL 3.0 koji su nazvali “POODLE”. Ovaj propust omogućava takozvane “čovek u sredini” napade i izvlačenje osetljivih infomacija kao što su autentifikacionii kolačića iz sigurne HTTPS konekcije kriptovane sa SSL 3.

Iako je POODLE najozbiljniji bezbednosni propust koji je do sada otkriven u SSL, to nije jedina slabost ovog protokola. SSL 3 koji je iz sredine devedesetih već dugo se sa kriptografske tačke smatra nesigurnim.

HTTPS konekcije dana uglavnom koriste TLS (Transport Layer Security) verzije 1.0, 1.1 ili 1.2. Međutim, mnogi browseri i serveri su tokom godina nastavili sa podrškom za SSL 3.0 - browseri su nastavili da podržavaju sigurne konekcije sa starim serverima a serveri da podržavaju sigurne konekcije sa starim browserima.

Na osnovu istraživanja koje je obavljeno u oktobru, 98% najpopularnijih HTTPS sajtova podržavaju SSL 3.0 uz jednu ili više TLS verzija. Zato je lakše za browsere da uklone podršku za SSL 3.0 nego da se čeka da stotine hiljada web servera budu ponovo konfigurisani.

Kada je 14. oktobra objavljena informacija o propustu POODLE, iz Googlea su izrazili nadu da će podršku za SSL 3.0 u potpunosti biti ukinuta iz njihovih klijent proizvoda.

Sada je objavljeno da Chrome 39, koji je trenutno dostupan u beta verziji, i koji će biti objavljen u narednim nedeljama, neće više podržavati mehanizam koji omogućava napadačima degradiranje TLS konekcija na SSL 3.0.

“U Chromeu 40 planiramo da u potpunosti onemogućimo SSL 3.0, iako ćemo pratiti probleme sa kompatibilnošću koji se mogu pojaviti”, kažu iz Googlea. “Kao priprema za to, Chrome 39 će pokazivati žuti bedž preko ikone katanca za SSL 3.0 sajtove. Ovakvi sajtovi moraju biti nadograđeni barem na TLS 1.0 pre nego što Chrome 40 bude objavljen.”

I drugi proizvođači browsera su preduzeli slične mere u pogledu podrške za SSL 3.0. Microsoft je objavio FixIt alat koji omogućava onemogućavanje SSL 3.0 u Internet Exploreru a Mozilla planira da onemogući SSL 3.0 po defaultu u Firefoxu 34 koji će biti objavljen 25. novembra.