又一波 Patch 到手软的节奏？SSLv3 Vulnerability

[dearrrfish]

http://googleonlinesecurity.blogspot.com/2014/10/this-poodle-bites-exploiting-ssl-30.html

[wzxjohn]

目测这不是简单Patch能解决的问题啊。。。
In the coming months, we hope to remove support for SSL 3.0 completely from our client products.
这话都说出来了。。。

[dearrrfish]

https://blogs.akamai.com/2014/10/ssl-is-dead-long-live-tls.html

akamai 宣布屏蔽所有的 SSLv2 和 v3 流量了。

https://www.dfranke.us/posts/2014-10-14-how-poodle-happened.html

[dearrrfish]

我标题说 Patch 不准确，应该是服务器设置的更新和客户端（浏览器）的更新吧。

[sanddudu]

@dearrrfish SSL 已死 TLS 永生 XD

[auser]

TLS1.2 应该成为标配
SSLv1 v2 v3早该淘汰了

[est]

@auser TLS1.2 也危险了。哈哈哈哈。

[wdlth]

Google又作恶了，NSA要责令其停业整顿了。

[janxin]

@auser TLS v1.2也是Android4.1才开始支持的，要是TLS v1.2强制标配，Android要挂不少，除非客户端自己实现TLS v1.2。

[AstroProfundis]

已禁用 SSLv3 感谢提醒

[hjc4869]

我服务器一直是TLS 1.0 1.1 1.2应该没受影响。。

[Akiyori]

Fastly的邮件

..we are disabling SSLv3 for all Fastly SSL customers, effective immediately..mainly
affect users of Windows XP Pre-service pack 3 combined with IE version 6..

[auser]

@janxin

在

谢谢告知

[mengzhuo]

细节论文
https://www.openssl.org/~bodo/ssl-poodle.pdf

粗略地看了看论文，中间人攻击+重复请求服务器就可以获得用户的Cookie等敏感信息。
服务器只有禁用SSLv3，不允许降级处理才行。。。

If SSL 3.0 is neither disabled nor the only possible protocol
version, then the attack is possible if the client uses a downgrade dance for
interoperability.

[dearrrfish]

已手软，好多 dev tool script 要更新