Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Buscador

Entradas Mensuales

Suscripción

¿Quieres recibir las últimas novedades del blog en tu correo?

¡Suscríbete al feed!

Foro de elhacker.net - Noticias

elhacker.NET en Facebook

Entradas populares

PostHeaderIcon Secure Sockets Layer versión 3.0 (SSLv3) no es lo suficientemente seguro




La IETF (Internet Engineering Task Force) declara definitivamente y oficialmente obsoleto la última versión de SSL , la versión 3. Recomiendan usar Transport Layer Security (TLS) 1.2.







Ataques como POODLE y BEAST pusieron en entredicho la seguridad de SSL. A principios de año, los principales fabricantes (Microsoft, Google y Mozilla) bloquearon SSL por defecto en sus navegadores y surgieron iniciativas como disablessl3.com para ayudar a los administradores a desactivarlo.




Todo ello ha acelerado que el IETF (Internet Engineering Task Force) declare definitivamente obsoleto a SSL v3. El documento de norma RFC7568 publicado este mes asevera SSLV3 como "no suficientemente seguro" y prohíbe volver a usarlo en nuevas aplicaciones:

"SSLv3 NO DEBE ser utilizado", dice el documento. "La negociación de SSLv3 desde cualquier versión de TLS no debe permitirse. Cualquier versión de TLS es más segura que SSLv3, aunque la versión más alta disponible es preferible".

RFC http://www.rfc-editor.org/rfc/rfc7568.txt

The Secure Sockets Layer version 3.0 (SSLv3), as specified in RFC
6101, is not sufficiently secure. This document requires that SSLv3
not be used. The replacement versions, in particular, Transport
Layer Security (TLS) 1.2 (RFC 5246), are considerably more secure and
capable protocols.



Por ejemplo Mozilla anunció que el SSLv3 fue desactivado por defecto en Firefox 34.








Desde la versión 34 de Firefox, el navegador bloquea los capas de conexión segura (SSLv3, por sus siglas en inglés: Secure Sockets Layer version 3.0) para proteger tu información de posibles ataques. SSLv3 es un tipo de tecnología que utilizan algunas páginas web para conectarse a un servidor, pero, como ya no es segura, los hackers pueden acceder a tu información personal mientras estás conectado a internet. Para obtener más información, consulta este post

SSL Vs TLS - Criptografia moderna Vs Criptografía obsoleta

Aunque por el nombre no lo parezca, SSLv3 fue prácticamente el primer protocolo que se creó para proteger nuestras comunicaciones a través de Internet. La versión 1.0 nunca se publicó, y la 2.0 apenas duró un año por sus fallos de seguridad. Ese protocolo, SSLv3, nació hace 18 años, en 1996. Más tarde (1999) se publicó una actualización, TLS 1.0, que fue evolucionando hasta lo que tenemos ahora, TLS 1.2.



SSL y y su sucesor TLS , son protocolos  diseñados para proporcionar seguridad de las comunicaciones a través de Internet. En el reino web, que están proporcionando HTTPS, pero también se utilizan para otros protocolos de aplicación.

SSLv1 nunca fue lanzado públicamente, y SSLv2 se encontró rápidamente que es inseguro. SSLv3 fue creado, y, junto con la nueva TLSv1 / 1.1 / 1.2, que se sigue utilizando actualmente para proteger la capa de transporte de Internet.

Como sucedió durante SSLv2, recientemente los ingenieros de Google señalaron que SSLv3 se puede romper (con una técnica de explotación conocido como POODLE) y no se debe utilizar por más tiempo. No es un parche, pero no mitiga el problema por completo, ya que sólo funcionará si ambos lados de la conexión han sido parcheados.

SSLv3 tiene casi 18 años, pero su uso sigue siendo generalizada. Los clientes y servidores deben desactivar SSLv3 tan pronto como sea posible. Si bien existe una pequeña fracción de los usuarios de Internet que se ejecutan sistemas muy anticuadas que no admiten TLS en absoluto, clientes que no serian capaces de conectarse a su sitio web o servicio serian muy pocos: CloudFlare anunció el 14 de octubre 2014 que menos del 0,09% de sus visitantes todavía dependen de SSLv3.

Incluso los usuarios de Windows XP se  pueden conectar utilizando TLSv1.0 + - que no es tan vulnerable como SSL.

De hecho TLS no es compatible con Internet Explorer 6, una versión muy obsoleta del navegador de Microsoft.

Comprueba si tu navegador  es vulnerable y soporta SSLv3





Fuente:
http://www.hackplayers.com/2015/06/sslv3-ya-esta-oficialmente-obsoleto.html

0 comentarios :

Publicar un comentario en la entrada

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.