Últimamente me he quejado mucho del amarillismo con el que los “ expertos en seguridad informática “ dan las noticias de vulnerabilidades, le ponen un énfasis de apocalipsis zombie o del fin del mundo. Esta fue mi queja cuando Heartbleed y ShellShock

Poodle no es tan grave, solucionarlo toma menos de 60 segundos en cualquier servidor web que corra con Apache Web Server.

El ataque básicamente consiste en obligar al servidor y al navegador a usar sslv3 siendo este la parte vulnerable, claro que cuando digo vulnerable el atacante aun tiene mucho trabajo que hacer tan solo para tratar de descifrar la conexión. El ataque es inviable por que requiere un hombre en el medio para poder obtener información. Ahora SSL es anticuado prácticamente obsoleto, tenemos a la mano el TLS, si el problema esta en sslv3 pues simple, no lo usen ni que fuera obligatorio, las conexiones se pueden cifrar usando TLS.

La siguiente línea aplicada en la configuración de Apache WEB Server anula el bug , ni siquiera son requeridos parches para anularlo, solo una línea de configuración.

SSLProtocol TLSv1 TLSv1.1 TLSv1.2

Escribir esa línea, dejando de lado el SSL por TLS en menos de 60 segundos hace que el servidor y las conexiones que despacha sean seguras nuevamente.

La demostración viene en el siguiente video.

El sitio donde compruebo la vulnerabilidad es:

https://www.tinfoilsecurity.com/poodle

Para terminar, no sean amarillistas, no me gusta ser contreras y opinar siempre mal de los alarmistas, no es que me guste llevar la contraria, pero obvio después de ver el video y entender cómo funciona Poodle te das cuenta que este asunto solo va a servir para que charlatanes vayan a las empresas a asustar a los dueño y decirles que sus sistemas están inseguros y que obviamente por una módica cantidad los ayudan a salir del bache…

Poodle es una vulnerabilidad, SI, es gravísima e infranqueable, la verdad NO.