Не успела затихнуть паника после обнаружения бага, который угрожает всем сайтам, работающим с SSL-шифрованием, как инженеры Google нашли новую критическую уязвимость в протоколе SSL 3.0. Она позволяет перехватывать передаваемые по cookies файлы пользователя, в которых хранится его личная информация. Завладев этими файлами, злоумышленники могут получить доступ к аккаунтам пользователей в социальных сетях и веб-сервисах. Несмотря на то, что протоколу скоро исполнится 15 лет, он все еще используется на многих сайтах, в том числе в качестве резервного способа защиты.
Новый способ атаки получил название POODL. Так как большинство сайтов сейчас используют более защищенный протокол TLS, то хакеры могут спровоцировать автоматический переход на SSL 3.0, вызывая сбои при установлении соединения с сервером. После этого хакеры получают доступ к зашифрованной информации. В Google заявили, что отныне использование этого протокола не представляется возможным. Вскоре компания полностью откажется от этого протокола в своих продуктах, несмотря на то, что полное отключение SSL 3.0 может вызвать проблемы совместимости.
Чтобы узнать, какой протокол шифрования использует выбранный веб-сайт, нужно нажать на иконку “замка” рядом с адресной строкой и посмотреть на детали соединения. Если это одна из версий TLS, то беспокоится не о чем, но в случае использования сайтом SSL 3.0 рекомендуется сменить пароль на ресурсе или включить двухуровневую авторизацию.
Напомним, что в апреле этого года эксперты из международной организации Electronic Frontier Foundation обнаружили уязвимость в последних версиях Android. Специалисты нашли способ удаленно подключиться к Android-устройству и получить от него список из Wi-Fi сетей, к которым подключался телефон. На основе этого списка им удалось построить маршрут передвижения пользователя.
