三位Google工程师刚刚在SSL 3.0的Faille上进行了交流，允许中间攻击和破译的安全流量。无论如何，以便能够输入消息帐户。
归因于故障的名称是在外面睡觉：«降级遗产加密上的填充甲骨文»。在缩写中，这使“贵宾犬”，即英语的“贵宾犬”，这已经更好了。从技术上讲，这种脆弱性非常复杂。这是基于以下事实：SSL V3的CBC（密码块链）的加密机制太低，可能会被打破（有关数学细节，请阅读相应的科学文章）。
没问题，您会对我说，因为SSL V3是一种过时的协议，其历史可以追溯到90年代，而今天很少使用。这是事实，但是存在一个问题：实现诸如TLS 1.0，TLS 1.1或TLS 1.2之类的最新协议的浏览器在某些情况下可以将SSL V3模式放置为逆转兼容性。专家称这种“降级舞蹈”为“降级舞蹈”，这是返回上一版的舞蹈。
假设海盗可以拦截网络流量并对其进行操纵（例如，通过错误的Wi-Fi热点）。对于他来说，要在TLS中进行所有连接的尝试就足够了，Hop，浏览器和Web服务器建立了SSL V3连接，并且Voila。如果他做得很好，那么网络frat可以破译HTTP会话cookie，这将使他可以输入用户帐户。
您必须停用SSL 3.0
如何保护自己？ SSL V3具有称为RC4的第二个加密模式，但它比CBC更脆弱。根据Google工程师的说法，保护自己的最佳方法是停用SSL V3，即使这意味着考虑到一些兼容性问题。 Chrome的开发商打算在未来几个月中继续进行这种停用。在Firefox中，它计划于即将推出的34版。
可以在当前浏览器中停用SSL V3，但有点运动。对于Firefox，您必须转到页面«关于：配置»并将其作为选项的价值«security.tls.version.min»数字1。对于Chrome，您必须将应用程序从选项开始«–ssl-version-min = tls1»。网站Chromium.org说明如何进行不同类型的操作系统。
那些绝对想保留与SSL V3的反复兼容的人知道，IETF开发的机制并受洗的“ TLS_FALLBACK-SCSV”，可以防止海盗迫使SSL V3连接（如果没有必要）。但是这种机制尚未完全完成。一些公司，例如Google，已经在实验性的基础上实施了它。
资料来源：
