Consejos para protegernos de Poodle

En los últimos tiempos se ha escuchado mucho los temas de nuevas vulnerabilidades, entre ellas están Heartbleed y después llego ShellShock. Y el ultimo problema que llego se llama Poodle, que se trata de un fallo de seguridad en SSL v3.0.

Poodle traducido al español es “caniche”, aunque en este caso nos toca responder a las siglas (Padding Oracle On Downgraded Legacy Encryption ), su fallo se origina en la seguridad de la librería de cifrado SSL, que se encuentra obsoleta pero que garantiza buena compatibilidad, por el cual se mantiene como opción en todos los navegadores. En Internet Explorer podemos ver como esta opción viene habilitada por defecto.

SSl es la versión previa de la ya conocida TLS, cuyo estándar es utilizado actualmente de forma mayoritaria. Pero en algunas ocasiones cuando se detecte alguna incompatibilidad se realizara una solicitud de conexión al servidor para realizar esa operación de cifrado con el estándar SSL v3.0 o anteriores. Por lo cual, se puede destacar que Poodle afecta a servidores web y navegadores web.

Consecuencias Poodle

Este ataque puede poner cierta información privada en manos de terceras personas, por ejemplo:

·    & nbsp;    Contraseñas

·  &nb sp;      Cookies

·    &n bsp;    Tokens de autenticación

Con esta información cualquier persona podría intentar conseguir acceso completo a un sitio web, suplantando a un administrador o accediendo a las bases de datos.

Lo bueno es que no es un ataque fácil de realizar y no se produce de forma masiva. No debemos temer a los “script kiddies”.

¿Qué hacer como administrador?

Los investigadores que descubrieron esta vulnerabilidad también han desarrollado ciertos parches para solucionar una parte del problema. TLS_FALLBACK_SCSV es un extensión de protocolo que ayuda a que los atacantes de tipo MiTM no sean capaces de forzar una regresión al protocolo SSL v3.0. Esto ha sido adoptado por los desarrolladores de Open SSL, por lo cual se recomienda actualizar las versiones:

·     ;     Usuarios de OpenSSL 1.0.1 deben actualizarse a 1.0.1j.

·    &n bsp;    Usuarios de OpenSSL 1.0.0 deben actualizarse a 1.0.0o.

·    &n bsp;    Usuarios de OpenSSL 0.9.8 deben actualizarse a 0.9.8zc.