Bonjour, Il faut désactiver surtout le SSL toute version du côté des serveurs. Ce n'est pas pour les quelques personnes qui utilisent encore un IE6 non mis à jour sur XP que l'on va mettre en danger tout ceux qui ont des navigateurs récents. Normalement rien qu'avec le choix d'algorithmes sécurisés la compatibilité avec les vieux navigateurs est déjà cassée et si tel est le cas le serveur est déjà vulnérable à d'autres failles.
Conclusion c'est un argument de plus pour couper définitivement SSL. Le 15/10/2014 09:20, Pierre Schweitzer a écrit : > Bonjour à tous, > > Cette nuit, une faille dans le protocole SSLv3 a été révélée. Il est > important de noter que c'est une faille dans le protocole et non dans > une implémentation du protocole. > Les détails sont dévoilés ici : > http://googleonlinesecurity.blogspot.de/2014/10/this-poodle-bites-exploiting-ssl-30.html > > Pour résumer ce qui y est dit, il faut désactiver SSLv3 dans le > meilleur des cas, ou au moins, empêcher les clients de passer de TLS à > SSLv3 en cas d'erreur réseau (ce qui est une technique pour exploiter > la faille). > Par ailleurs, on parle beaucoup de HTTP comme protocole vulnérable (ce > qui est un fait), mais la faille s'appuie notamment sur des bouts de > texte connus pour avoir le reste (donc, récupérer les cookies par > exemple sur HTTP). Cela veut dire que ça marche sur d'autres > protocoles verbeux, type IRC (pour récupérer le mot de passe). > > Un client n'est vulnérable que si on est capable de sniffer ses > paquets, donc wifi, MITM, etc. > > Debian (par exemple), va désactiver le support de SSLv3 sur Iceweasel. > > Bonne journée, > _______________________________________________ > Liste de diffusion du FRsAG > http://www.frsag.org/
signature.asc
Description: OpenPGP digital signature
_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
