Zhovtnі _inženýři společnosti Google zveřejnili informace o kritické podrážděnosti SSL verze 3.0, sho otrimala kumedna jmeno PUDL(Padding Oracle On Downgraded Legacy Encryption nebo Poodle 🙂). Intrusion umožňuje útočníkovi získat přístup k informacím zašifrovaným protokolem SSLv3, navíc k útoku „man in the middle“. Konflikty fungují jako servery a klienti, jako by mohli volat po protokolu SSLv3.

Situace není překvapivá mrknutím oka, protože protokol SSL 3.0, který byl představen již dříve v roce 1996, má za sebou již 18 let a morální chyby již zestárly. Většina praktických vůdců jógy nahradila kryptografický protokol. TLS(verze 1.0, 1.1 a 1.2).

Pro zahistu tváří v tvář hlouposti se důrazně doporučuje POODLE povolit podporu SSLv3 jak na straně klienta, tak na straně serveru a vítěznější než TLS. U starších ROM (například jak hacknout IIS 6 v systému Windows XP) to znamená, že se již nemohou dívat na stranu HTTPS a hackovat další služby SSL. V takovém případě jako by podpora SSLv3 nebyla plně povolena a za zámkem je šifrování silnější, inteligence PUDLA je stejná matka. Souvisí to se zvláštnostmi volby a používáním šifrovacího protokolu mezi klientem a serverem, protože v případě poruch ve verzi TLS je proveden automatický přechod na SSL.

Doporučuje se zkontrolovat všechny své služby, abyste mohli získat SSL/TLS z čehokoli, co uvidíte, a zakázat podporu SSLv3. Můžete zkontrolovat svůj webový server na přítomnost nekonzistence pro další online test, například zde: http://poodlebleed.com/.

Poznámka. Je nutné jasně pochopit, že zahrnutí SSL v3 na všechny systémy bude praktické pouze pro zabezpečení softwaru, jako je vicor systémové API pro šifrování SSL (Internet Explorer, IIS, SQL NLA, RRAS atd.). Programy, jako je vikoristovuyut kryptoměna (Firefox, Opera, atd.), Je nutné aktualizovat a upravit individuálně.

Povolte SSLv3 pro Windows na jiných systémech

V systému Windows je podpora hesel pro protokoly SSL/TLS povolena prostřednictvím registru.

U některých aplikací bude ukázáno, jak povolit SSLv3 na Windows Server 2012 R2 na jiném systému (jak na klientovi, tak na serveru):

Povolit SSLv2 (Windows 2008/Server a nižší)

Operační systém, který upgraduje Windows 7 / Windows Server 2008 R2, má ještě méně bezpečný a starý protokol za zámkem SSLv2, který také zapíná bezpečnostní zámek (v nejnovějších verzích Windows je SSLv2 na straně klienta pro zamykání zakázáno a poraženy jsou pouze SSLv3 a TLS1.0). Pro povolení SSLv2 je nutné zopakovat výše popsaný postup, pouze pro rozdělení registru SSL 2.0.

Ve Windows 2008/2012 je SSLv2 na straně klienta zakázáno pro zamykání.

Povolte TLS 1.1 a TLS 1.2 pro Windows Server 2008 R2 a další

Windows Server 2008 R2 / Windows 7 a další podporují šifrovací algoritmy TLS 1.1 a TLS 1.2, ale jsou povoleny také šifrovací protokoly. V podobném scénáři můžete vypnout podporu TLS 1.1 a TLS 1.2 pro tyto verze systému Windows

Nástroj pro vymazání systémových kryptografických protokolů na Windows Server

Použijte nástroj IIS Crypto, který vám umožňuje ručně změnit parametry kryptografických protokolů v systémech Windows Server 2003, 2008 a 2012. Pomocí tohoto nástroje můžete povolit nebo zakázat libovolný šifrovací protokol pouhými dvěma kliknutími.

Program již má kopii šablon, které umožňují rychle nastavit úpravu pro různé možnosti nastavení zabezpečení.

Když přejdete na jakýkoli suverénní nebo servisní portál (například „EIS“), může koristuvach rychle zmlknout s prominutím „Nepřipojujte se bezpečně na druhou stranu. Je možné, že na webu jsou zastaralé nebo nevhodné bezpečnostní parametry pro protokol TLS. Tento problém lze rozšířit povahově a lze jej vyřešit několikaletým protahováním u různých kategorií koristuvachů. Pojďme se podívat na podstatu omilostnění a na možnosti, jak jej rozbít.

Jak můžete vidět, bezpečnost připojení coristuvachіv k merezhevyh zdrojům je zajištěna účtem SSL / TSL - kryptografických protokolů, které jsou zodpovědné za bezpečný přenos dat z merezhі internetu. Zápach vikoristovuyut symetrické a asymetrické šifrování, kód pro pravost podpory a další speciální schopnosti, které vám umožní uložit důvěrnost vašeho připojení, přenášející dešifrování relace ze strany třetího OS.

Pokaždé, když se připojíte k webu, prohlížeč ukáže, že zdroj má nesprávné parametry pro bezpečnostní protokol SSL / TSL.

Často je situace s protokolem TLS obviňována z prohlížeče IE - oblíbeného nástroje pro práci se speciálními státními portály, které jsou spojeny s různými formami zónování. Provoz takových portálů ovlivňuje jazykovou přítomnost prohlížeče Internet Explorer a sám o sobě je tento problém obviňován obzvláště často.

Důvody pro omluvu „Možná, že na webu jsou zastaralé nebo nepotřebné bezpečnostní parametry pro protokol TLS“ mohou být následující:

Jak opravit dysfunkci: Zlé nevhodné parametry zabezpečení TLS

Řešení problému lze nalézt v metodách popsaných níže. Před jejich popisem ale doporučuji jednoduše resetovat PC – při vší triviálnosti se tato metoda často jeví jako účinná.

Pokud jste nepřidali víno, postupujte takto:

• Timchasovo vypněte antivirus. V některých případech antivirus zablokoval přístup na nežádoucí (pro hodnocení yogo) stránky. Občas vypněte antivirový program nebo zapněte opětovné ověřování certifikátů v nainstalovaném antiviru (například „Neověřovat ochranu zabezpečení“ v antiviru Kaspersky);
• Nainstalujte si do počítače nejnovější verzi programu „CryptoPro“ (v případě předchozí práce s tímto programem). Zastaralá verze produktu může způsobit omluvu za absenci bezpečného připojení na stranu;
• Změňte nastavení IE. Přejděte na „Síla prohlížeče“, vyberte kartu „Zabezpečení“ a poté klikněte na „Renomované stránky“ (zde můžete také zadat adresu svého portálu, ale nemůžete a poté ji zadejte). V dolní části zrušte zaškrtnutí možnosti „povolit režim krádeže“.

  

  Poté stiskněte tlačítko „Sites“ více a zrušte zaškrtnutí možnosti „Pro všechny weby v této zóně ...“. Klikněte na "OK" a zkuste přejít na problémový web.

• Smažte soubory cookie prohlížeče IE. Spusťte prohlížeč a stisknutím tlačítka Alt zobrazte nabídku. Vyberte záložku "Služba" - "Viditelnost historie prohlížeče", zaškrtněte (na hodiny) možnost "Cookies ...", poté klikněte na "Viditelnost";

  

• Zakázat programy VPN (kvůli přítomnosti takových programů);
• Zkuste podvádět s jiným prohlížečem, abyste se dostali k problematickému zdroji (například není vaše chyba podvádět, ať je to konkrétní prohlížeč);
• Zkontrolujte, zda váš počítač neobsahuje viry (kromě toho například testování "Doctor Web Curate");
• Povolte v systému BIOS možnost „Secure Boot“. Bez ohledu na nestandardní povahu tsієї, vin dopomіg mnohem více než jeden koristuvachevi pozbutisa promine "zastaralé nebo nevhodné parametry TLS".

  

  V systému BIOS deaktivujte možnost „Secure Boot“.

Višňovok

Důvodem prominutí „Možná má stránka zastaralé nebo nepotřebné bezpečnostní parametry pro protokol TLS“ je často lokální PC antivirus, který blokuje přístup na požadovaný internetový portál. Pokud se ocitnete v problematické situaci, doporučujeme nejprve zapnout antivirus, abyste mohli změnit připojení, aby se závada neprojevila. Vzhledem k tomu, že se pardon stále opakuje, doporučuji přejít k realizaci dalších kroků, popsaných níže, za účelem vyřešení problému s nevhodnými bezpečnostními parametry pro TSL protokol na vašem PC.

V kontaktu s

Všechny naše testy budou založeny na tom, že vyhrál Windows XP nebo novější OS (Vista, 7 nebo 8), na který jsou nainstalovány všechny potřebné aktualizace a záplaty. Nyní existuje pouze jedna mysl: mluvíme o zbývajících aktuálních verzích prohlížečů, a ne o „kulovém Ohni ve vakuu“.

Prohlížeče nyní také změnily aktuální verze protokolu TLS a staré verze SSL se změnily. V každém případě co nejméně teoreticky.

A zdá se nám teorie, že pokud Internet Explorer již podporuje TLS 1.1 a 1.2 ve verzi 8, pod Windows XP a Vista, nezáleží na tom. Klikněte na: Služba / Autorita hlídače / Dodatkovo, že na pobočce „Safety“ známe: SSL 2.0, SSL 3.0, TLS 1.0 ... víte více? Vsadím se, že budete mít TLS 1.1/1.2! Nevěděli – máte Windows XP nebo Vista a v Redmondu vás respektují vіdstalim.

Takže osa, zaškrtávací políčka pro uSіkh SSL - znіmaєmo, na všech nayavnі TLS - nastaveno. Pokud je k dispozici pouze TLS 1.0, pak se to vyplatí, pokud existuje více aktuálních verzí, je lepší vybrat pouze їх a zrušit zaškrtnutí políčka pro TLS 1.0 (a nedivte se, protože některé weby nepodporují HTTPS) . Poté stiskněte tlačítka "Zastosuvati", "OK".

S Operou je to jednodušší – existuje pro nás autoritativní banka s různými verzemi protokolů: Nástroje / Obecné úpravy / Rozšířené / Zabezpečení / Bezpečnostní protokoly. Co to děláme? Celá sestava, u které zaškrtneme více než TLS 1.1 a TLS 1.2, načež stiskneme tlačítko “Nahlásit” a tam odstraníme zaškrtnutí z řádků, je klid, že “256 bit AES” je opraveno - smrad pro příklad. Na konci seznamu je řádek „256 bit AES ( Anonymní DH/SHA-256), zaškrtněte políčko. Tisnemo "OK" a rádiová ochrana.

Mezitím může mít Opera jednu úžasnou sílu: i když je povoleno TLS 1.0, pak v případě potřeby nainstalujte ochranu proti stejné verzi protokolu, nezávisle na podpoře ze strany těch aktuálních. Jako, teď se to napíná - a tak je všechno zázračné, všechno je kradené. Pokud jsou povoleny pouze TLS 1.1 a 1.2, pak se prohlížeč přepne na verzi 1.1.

A radost nám neudělá ani osa kulového Fireballu Firefox: Nástroje / Nástroje / Dodatkovo / Šifrování: vše, co umíme - zapnout SSL, TLS dostupné pouze ve verzi 1.0, pracovat na ničem - jen zaškrtnout.

Vtіm, špína je známá mezi porovnyann: Chrome a Safari vzagali se neoplácejí, vítězí nějaký šifrovací protokol. Jak se zdá, Safari nepodporuje TLS aktuálních verzí, nižší 1.0 pro verze pod OS Windows, a pokud bude připojeno vydání jeho nových verzí pod OS, tak nebude.

Chrome, jak se zdá, podporuje TLS 1.1, ale jak už to u Safari bývá, nemůžeme pracovat s verzí SSL. Povolit v Chrome TLS 1.0 tezh n_yak. A osa z skutečných zvratů TLS 1.1 je velká síla: zapnuli to, pak to zapnuli přes problémy v robotu, můžete posoudit podle měřítka, ještě to nezapnuli. Tobto, pіdtrimka є, pivo vyhrál vimknen, a zase її zpět k nejvíce koristuvachevi - nіyak. Stejný příběh a Firefox - podpora TLS 1.1 stále není dostupná nikomu, opravdu, ale coristuvachevi.

Shrnutí z bohatě psaného dopisu. Proč ohrožovat používání starých verzí šifrovacích protokolů? Tim, co je třetí strana v blízkosti vašeho webu, která je chráněna před přístupem ke všem informacím „tam“ a „hvězdám“. Z praktického hlediska odepře přístup k obrazovce elektronické pošty, fyzickému záznamu v systému klient-banka.

Vipadkovo vlіzt v cizím uneseném z'єdnannya je nepravděpodobné, že do toho půjde, mluvíme pouze o zákeřné neplechu. Vzhledem k tomu, že bezpečnost těchto dat je nízká, jinak informace přenášené prostřednictvím ochrany dat nemají zvláštní hodnotu, nemůžete se potácet a lámat si hlavu s prohlížeči, které podporují pouze TLS 1.0.

V druhém případě není na výběr: pouze Opera a pouze TLS 1.2 (TLS 1.1 je vylepšený TLS 1.0, který často omezil některé problémy se zabezpečením). Upozorňujeme, že naše oblíbené stránky nemusí podporovat TLS 1.2 :(

Zdá se, že jste narazili na problém, pokud existuje prominutí přístupu na původní stránky, v případě, že prohlížeč zobrazí zprávu, kterou je rozumné vysvětlit. Důvody pro tento způsob řešení problému jsou uvedeny v tomto článku.

SSL protokol TLS

Koristuvách rozpočtových organizací, a to nejen rozpočtových, činnost kterékoli z nich je spojena s financemi, ve spolupráci s finančními organizacemi, např. ministerstvem financí, státní pokladnou, pak veškeré jejich operace probíhají výhradně za šifrovaný protokol SSL. V zájmu vašeho robotického smradu byl poražen prohlížeč Internet Explorer. Některé vipadky mají Mozilla Firefox.

Pardon SSL

Hlavní respekt při těchto operacích a robotech jako celku je věnován systému ochrany: certifikáty, elektronické podpisy. Pro roboty je nainstalován software CryptoPro aktuální verze. Jaká je cena problémy s protokoly SSL a TLS, jako pardon SSL Vinyl, nejdůležitější den podpory tohoto protokolu.

Pardon TLS

Pardon TLS v bohatých situacích můžete říct, že máte postupovat podle protokolu. Ale... zajímalo by mě, co umíš dělat.

Podpora protokolů SSL a TLS

Také na hodinu, kdy se v řádku záhlaví zobrazí Microsoft Internet Explorer, aby se zobrazil web chráněný protokolem SSL Protokoly Change, ssl a tls jsou povoleny. Nejprve musíte v Internet Exploreru povolit podporu TLS 1.0.

Pokud si prohlížíte web, na kterém je spuštěna Internetová informační služba 4.0 nebo jinde, vyladění aplikace Internet Explorer tak, aby podporovalo TLS 1.0, pomůže chránit vaše soukromí. Abychom pochopili, co je vzdálený webový server, který se snažíte vyhrát, podporuje tento protokol.

Za to, co je v nabídce Servis vybrat tým Panovačný pohled ven.

Na zálohu Dodatkovo v maloobchodě Bezpeka, změňte názor, jaké jsou další zvolené kroky:

• Wickery SSL 2.0
• Whistleblower SSL 3.0
• Proutěný SSL 1.0

zmáčkněte tlačítko Zastosuvati , a pak OK . Znovu načtěte prohlížeč .

Pokud je povoleno TLS 1.0, zkuste web znovu.

Systematická bezpečnostní politika

Stejně jako předtím, vina prominutí SSL a TLS Stále nemůžete vyhrát SSL, ale webový server stále nepodporuje TLS 1.0. V tomto případě je nutné povolit systémovou politiku, protože používá FIPS-součtové algoritmy.

Sob tse robiti, Panely Vybrat Správa a poté dvakrát klikněte na piktogram Místní bezpečnostní politika.

V místním nastavení zabezpečení spusťte vuzol Místní zásady a poté stiskněte tlačítko Bezpečnostní parametry.

Vіdpovіdno do politiky v pravé části okna, dvakrát klikněte Systémová kryptografie: hackování souhrnných algoritmů FIPS pro šifrování, hashování a podepisování a poté stiskněte tlačítko Vimkneno.

Úcta!

Změny v obřadnosti po opětovném usazení místní bezpečnostní politiky. Upozorňujeme, že restartujte prohlížeč.

CryptoPro TLS SSL

Onoviti CryptoPro

Jednou z možností řešení problému je aktualizace CryptoPro a také konfigurace zdroje. V tomto případě je tu robot pro elektronické platby. Jděte do centra. Jak si vybrat zdroj E-commerce maydanchiki.

Po spuštění automatické úpravy pracovního prostoru jen málokdo zkontrolovat dokončení postupu, po čem přehodnotit prohlížeč. Pokud potřebujete zadat nebo vybrat adresu zdroje, vyberte si, co potřebujete. Takže po dokončení instalace je to možné, je potřeba předělat počítač.

Omilostňovací kód zazní na obrazovce, když přejdete na webovou stránku služby nebo státu. Yaskravy butt - oficiální portál EIC. Není deaktivováno, pokud bylo selhání způsobeno zastaralými nebo nebezpečnými parametry TSL. Tse duzhe problém je rozšířen. Coristuvachi s ní zůstal dlouho. Okamžitě zjistíme, co způsobilo vzhled této milosti a jak ji získat.

Bezpečné připojení k webu je zabezpečeno pomocí speciálních šifrovacích protokolů - SSL a TSL. O přenos se postará smrad. Protokoly založené na symetrických a asymetrických šifrovacích nástrojích. Také je potvrzen kód pravosti a jsou vybrány další možnosti. Při svatbě můžete vstoupit, abyste zachovali anonymitu spojení, a třetí osoby budou moci relaci rozluštit.

Pokud je v prohlížeči pardon, který upozorňuje na problémy s protokolem TSL, znamená to, že web má nesprávné parametry. Otzhe, spojení s pravdou není bezpečné. Přístup na portál je automaticky zablokován.

Většinu času drží pohromadě koristuvachy, které fungují přes prohlížeč Internet Explorer. Іsnuє kіlka důvodů vzniku tohoto problému a samotného:

• antivirus blokující připojení k webu;
• zastaralá verze nástroje "CryptoPro";
• připojení k portálu je připojeno přes VPN;
• nesprávná instalace prohlížeče Internet Explorer;
• BIOS má aktivovanou funkci SecureBoot;
• v počítači jsou infikované soubory, viry.

Diskutovalo se o třech důvodech vzniku milostí. Právě hodina na analýzu možných způsobů řešení problému.

Pokyny pro přijetí milosti

Jako by omluva nikde nepřišla, je čas vyzkoušet alternativní způsoby:

Praxe ukázala, že kůže přenesených poradců může problém vyřešit. Takže jen postupujte podle pokynů.

Višňovok

Odborníci zapevnyayut, scho software zbіy, scho razglyaєєєєєєєєєєєєєєєєє prostřednictvím antiviru, instalace na koristuvach počítače. Existují tři důvody, proč program blokuje přístup na web. Z toho důvodu stačí zapnout antivirus, změnit opětovné ověřování certifikátů. Zcela immovirno, scho tse virishit problém. Jako by pardon nikde nepřišel, tak zkuste kůži z navrhovaných více paseků. V důsledku toho bude zcela odstraněn bezpečnostní problém protokolu TSL.

Poskytovatel