La semaine dernière, des rumeurs circulaient sur une nouvelle vulnérabilité dans SSL v3.

Aucun détail n'a été largement disponible jusqu'à aujourd'hui et nous avons maintenant POODLE, ou « Padding Oracle On Downgraded Legacy Encryption ».

L'attaque permet d'obtenir le texte en clair de certaines parties d'une connexion SSL, telles que les cookies.

Similaire à BEAST, mais plus pratique à exploiter, POODLE pourrait bien signifier la fin du support du protocole SSL v3.

Je vais vous donner dans cet article les outils pour tester si vous êtes vulnérable et comment corriger le problème.

Tester si votre serveur est vulnérable :

Vos serveurs sont vulnérables dès lors qu'ils prennent en charge SSLv3.

Voici des solutions pour tester si le protocole est actif.

Tester avec OpenSSL :

# openssl s_client -connect <serveur>:<port> -ssl3

Il faut bien sûr remplacer <serveur> et <port> par les informations de votre serveur.

Ex. : openssl s_client -connect www.duhaz.fr:443 -ssl3

Si la connexion réussit, SSLv3 est activé. Si elle échoue, il est désactivé. Quand la connexion échoue, vous devriez voir quelque chose comme : error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure

Tester avec Nmap :

nmap --script ssl-enum-ciphers -p <port> <serveur>

Il faut bien sûr, comme pour OpenSSL, remplacer <serveur> et <port> par les informations de votre serveur.

Ex. : nmap --script ssl-enum-ciphers -p 443 www.duhaz.fr

Si vous obtenez la réponse « SSLv3: No supported ciphers found », le protocole est bien désactivé.

Tester avec un outil tiers :

Qualys SSL Test

Voici le résultat que vous devez voir dans la liste des protocoles supportés.

Désactiver le protocole SSLv3 sur Apache :

Pour désactiver SSL v3 sur votre serveur Apache, vous pouvez utiliser la directive suivante.

SSLProtocol all -SSLv2 -SSLv3

Cela conserve les protocoles TLSv1.0, TLSv1.1 et TLSv1.2, mais désactive SSLv2 et SSL v3.

Vérifiez la configuration, puis redémarrez Apache.

apachectl configtest
sudo service apache2 restart

Désactiver le protocole SSLv3 sur NGINX :

Désactiver le support SSL v3 sur Nginx est également très facile : vous pouvez utiliser la directive suivante.

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Vous pouvez vérifier la configuration et redémarrer.

sudo nginx -t
sudo service nginx restart

Désactiver le protocole SSLv3 sur IIS :

Dans le cas d'IIS, il faudra modifier une valeur dans la base de registre et redémarrer le serveur.

Ouvrez l'Éditeur du Registre et accédez au dossier suivant :

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

Recherchez les dossiers nommés « SSL 2.0 » et « SSL 3.0 » ; s'ils n'existent pas, créez-les.

Dans chacun de ces dossiers, ouvrez le sous-dossier « Server », puis créez une valeur DWORD dont la valeur est 0.

Voici une capture d'écran qui pourra vous aider.