問題タブ [poodle-attack]

質問する

For questions regarding programming in ECMAScript (JavaScript/JS) and its various dialects/implementations (excluding ActionScript). Note JavaScript is NOT the same as Java! Please include all relevant tags on your question; e.g., [node.js], [jquery], [json], [reactjs], [angular], [ember.js], [vue.js], [typescript], [svelte], etc.

74 問題
Newest
Active
Bountied
318
Unanswered
0 投票する
2 に答える
362 参照

ruby-on-rails - Rails omniauth facebook SSLハンドシェイクの失敗

私のアプリは何ヶ月も正常に動作していましたが、突然ログインしてもうまくいきません。

2014-10-18T18:09:33.971670+00:00 app[web.1]: Faraday::SSLError (SSL_connect returned=1 errno=0 state=SSLv3 read server hello A: sslv3 alert handshake failure): 2014-10-18T18:09:33.971672+00:00 app[web.1]: vendor/ruby-2.0.0/lib/ruby/2.0.0/net/http.rb:918:in `connect' 2014-10-18T18:09:33.971674+00:00 app[web.1]: vendor/ruby-2.0.0/lib/ruby/2.0.0/net/http.rb:918:in `block in connect' 2014-10-18T18:09:33.971675+00:00 app[web.1]: vendor/ruby-2.0.0/lib/ruby/2.0.0/timeout.rb:52:in `timeout' 2014-10-18T18:09:33.971676+00:00 app[web.1]: vendor/ruby-2.0.0/lib/ruby/2.0.0/net/http.rb:918:in `connect' 2014-10-18T18:09:33.971678+00:00 app[web.1]: vendor/ruby-2.0.0/lib/ruby/2.0.0/net/http.rb:862:in `do_start' 2014-10-18T18:09:33.971679+00:00 app[web.1]: vendor/ruby-2.0.0/lib/ruby/2.0.0/net/http.rb:851:in `start' 2014-10-18T18:09:33.971680+00:00 app[web.1]: vendor/ruby-2.0.0/lib/ruby/2.0.0/net/http.rb:1367:in `request' 2014-10-18T18:09:33.971682+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/newrelic_rpm-3.8.1.221/lib/new_relic/agent/instrumentation/net.rb:27:in `block (2 leve ls) in request_with_newrelic_trace' 2014-10-18T18:09:33.971683+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/newrelic_rpm-3.8.1.221/lib/new_relic/agent.rb:404:in `disable_all_tracing' 2014-10-18T18:09:33.971685+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/newrelic_rpm-3.8.1.221/lib/new_relic/agent/instrumentation/net.rb:26:in `block in requ est_with_newrelic_trace' 2014-10-18T18:09:33.971686+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/newrelic_rpm-3.8.1.221/lib/new_relic/agent/cross_app_tracing.rb:41:in `trace_http_requ est' 2014-10-18T18:09:33.971687+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/newrelic_rpm-3.8.1.221/lib/new_relic/agent/instrumentation/net.rb:23:in `request_with_ newrelic_trace' 2014-10-18T18:09:33.971689+00:00 app[web.1]: vendor/ruby-2.0.0/lib/ruby/2.0.0/net/http.rb:1126:in `get' 2014-10-18T18:09:33.971690+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/faraday-0.9.0/lib/faraday/adapter/net_http.rb:78:in `perform_request' 2014-10-18T18:09:33.971691+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/faraday-0.9.0/lib/faraday/adapter/net_http.rb:39:in `call' 2014-10-18T18:09:33.971693+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/faraday-0.9.0/lib/faraday/request/url_encoded.rb:15:in `call' 2014-10-18T18:09:33.971694+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/faraday-0.9.0/lib/faraday/rack_builder.rb:139:in `build_response' 2014-10-18T18:09:33.971695+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/faraday-0.9.0/lib/faraday/connection.rb:377:in `run_request' 2014-10-18T18:09:33.971696+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/oauth2-0.8.1/lib/oauth2/cli ent.rb:88:in `request' 2014-10-18T18:09:33.971698+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/oauth2-0.8.1/lib/oauth2/access_token.rb:99:in `request' 2014-10-18T18:09:33.971699+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/oauth2-0.8.1/lib/oauth2/access_token.rb:106:in `get' 2014-10-18T18:09:33.971700+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/omniauth-facebook-access-token-0.1.3/lib/omniauth/strategies/facebook-access-token.rb: 90:in `callback_phase' 2014-10-18T18:09:33.971702+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/omniauth-1.2.1/lib/omniauth/strategy.rb:227:in `callback_call' 2014-10-18T18:09:33.971703+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/omniauth-1.2.1/lib/omniauth/strategy.rb:184:in `call!' 2014-10-18T18:09:33.971704+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/omniauth-1.2.1/lib/omniauth/strategy.rb:164:in `call' 2014-10-18T18:09:33.971706+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/omniauth-1.2.1/lib/omniauth/strategy.rb:186:in `call!' 2014-10-18T18:09:33.971707+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/omniauth-1.2.1/lib/omniauth/strategy.rb:164:in `call' 2014-10-18T18:09:33.971708+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/omniauth-1.2.1/lib/omniauth/builder.rb:59:in `call' 2014-10-18T18:09:33.971709+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/newrelic_rpm-3.8.1.221/lib/new_relic/rack/error_collector.rb:55:in `call' 2014-10-18T18:09:33.971711+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/newrelic_rpm-3.8.1.221/lib/new_relic/rack/agent_hooks.rb:32:in `call' 2014-10-18T18:09:33.971712+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/newrelic_rpm-3.8.1.221/lib/new_relic/rack/browser_monitoring.rb:27:in `call' 2014-10-18T18:09:33.971713+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/rack-ssl-1.4.1/lib/rack/ssl.rb:27:in `call' 2014-10-18T18:09:33.971714+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/warden-1.2.3/lib/warden/manager.rb:35:in `block in call' 2014-10-18T18:09:33.880979+00:00 app[web.1]: I, [2014-10-18T18:09:33.880840 #15] INFO -- omniauth: (facebook_access_token) Callback phase initiated. 2014-10-18T18:09:33.971716+00:00 app[web.1]: vendor/bundle/ruby/2.0.0/gems/warden-1.2.3/lib/warden/manager.rb:34:in `catch'

私は偶然、フェイスブックがプードルの脆弱性に何らかの方法で静かに対処しているというツイートを偶然見つけました。それを解決する方法がわからない

0 投票する
1 に答える
173 参照

mina - アパッチミナ×プードル虫

apache mina SslFilter で ssl v3 サポートを無効にするにはどうすればよいですか? https://mina.apache.org/

0 投票する
2 に答える
4137 参照

internet-explorer - POODLE の脆弱性、JBoss および IE

だから、私はJBoss 5.1.0 GAを持っていて、ここでSSLv3を無効にする必要がある方法について読みました:

https://access.redhat.com/solutions/1232233

ここで言及されていないのは、SSLv3 へのフォールバックをサポートするすべての暗号を取り除く必要があるということです。そうしたら、このサイトに「緑色のチェックマーク」がつきました

https://www.tinfoilsecurity.com/poodle

これは基本的に、サーバーを保護したことの確認であり、SSLv3 はサポートされなくなりましたが、IE (すべてのバージョンの IE) を使用して Web サイトにアクセスできなくなりました。server.xml 構成の暗号リストには 4 つの暗号しかなかったので、このリストに追加する暗号をさらに見つけて、IE を機能させることを目指しました。50 を超える暗号を追加しましたが、IE はまだ Web サイトをロードしません。これまでに使用したすべての暗号のリストを次に示します (ここからリストを取得しました ( https://www.openssl.org/docs/apps/ciphers.html ):

TLS_DH_DSS_WITH_CAMELLIA_128_CBC_SHA, TLS_DH_DSS_WITH_CAMELLIA_256_CBC_SHA, TLS_DH_RSA_WITH_CAMELLIA_128_CBC_SHA, TLS_DH_RSA_WITH_CAMELLIA_256_CBC_SHA, TLS_DHE_DSS_WITH_CAMELLIA_128_CBC_SHA, TLS_DHE_DSS_WITH_CAMELLIA_256_CBC_SHA, TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA, TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA, TLS_DH_DSS_WITH_SEED_CBC_SHA, TLS_DH_RSA_WITH_SEED_CBC_SHA, TLS_DHE_DSS_WITH_SEED_CBC_SHA, TLS_DHE_RSA_WITH_SEED_CBC_SHA, TLS_RSA_WITH_NULL_MD5, TLS_RSA_WITH_NULL_SHA, TLS_RSA_EXPORT_WITH_RC4_40_MD5, TLS_RSA_WITH_RC4_128_MD5, TLS_RSA_WITH_RC4_128_SHA, TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5, TLS_RSA_WITH_IDEA_CBC_SHA, TLS_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_RSA_WITH_DES_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DH_DSS_EXPORT_WITH_DES40_CBC_SHA, TLS_DH_DSS_WITH_DES_CBC_SHA,TLS_DH_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DH_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_DH_RSA_WITH_DES_CBC_SHA, TLS_DH_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_DSS_WITH_DES_CBC_SHA, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_RSA_WITH_DES_CBC_SHA, TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DH_DSS_WITH_AES_128_CBC_SHA, TLS_DH_DSS_WITH_AES_256_CBC_SHA, TLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHATLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_DSS_WITH_DES_CBC_SHA, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_RSA_WITH_DES_CBC_SHA, TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DH_DSS_WITH_AES_128_CBC_SHA, TLS_DH_DSS_WITH_AES_256_CBC_SHA, TLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHATLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_DSS_WITH_DES_CBC_SHA, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_RSA_WITH_DES_CBC_SHA, TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DH_DSS_WITH_AES_128_CBC_SHA, TLS_DH_DSS_WITH_AES_256_CBC_SHA, TLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHATLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHATLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHA

これらの暗号はいずれも IE では機能しません。つまり、IE でサーバーにアクセスすると、「このページを表示できません」というメッセージが表示されます。

誰かがこれで私を助けることができますか? サーバーで SSLv3 を開かず、IE でも動作する、使用できる暗号はありますか?

更新: RedHat によって提案されたソリューションを実装する場合 (つまり、sslProtocols を「TLSv1、TLSv1.1、TLSv1.2」に変更する):

  1. JBoss を起動すると、「TLSv1、TLSv1.1、TLSv1.2 SSLContext が利用できません」というエラーが表示されます。これは、この文字列が無効であることを意味し、これらのプロトコルの 1 つだけを使用する必要があります。わかりました。最も安全な「TLS1.2」のいずれかを使用します。
  2. もう 1 つの問題は、RedHat ソリューションでは、暗号について何も言及されていないことです。「ciphers」要素はもう必要ないという印象を受けていたので、server.xml から削除し、sslProtocols 値を「TLSv1.2」に変更して、サーバーをスキャンしました。それはまだ脆弱です!.
  3. TLSv1.1 と TLSv1 を設定してみました。それは動作しません。sslProtocols 要素は、サーバーが使用しているプロトコルにまったく影響を与えないようです。つまり、ciphers 要素だけが何らかの値を持つことを意味します。
  4. そうですね、私は言いました... TLSv1.2 固有の暗号を見つけてそこに追加し、サーバーをしっかりと保護します。https://www.openssl.org/docs/apps/ciphers.htmlリンクで指定されたリストからすべての TLSv1.2 暗号を追加しました。サーバーをスキャンし、「緑色のチェックマーク」を取得し、すべてOKで安全です...任意のブラウザからサーバーにアクセスしようとしました...「ページを開けません」。Chrome: ERR_SSL_VERSION_OR_CIPHER_MISMATCH Firefox: ssl_error_no_cypher_overlap IE: ページを開けません (理由を教えていただけません) 私は今どうすればいい？
  5. わかりました、 https: //www.openssl.org/docs/apps/ciphers.html リストから暗号を下から追加し始め、SSLv3 のものをスキップします。私はこの（本当に短い）リストにたどり着きました：問題ないようです。 https://www.tinfoilsecurity.com/poodle -> 緑のチェックマーク、すべて良好です! 安全のために、オンライン スキャナーをいくつか試してみましょう... https://www.expeditedssl.com/poodle -> 脆弱ではありません。すごい！ https://www.poodlescan.com/ -> 脆弱！くそっ！
  6. 究極のスキャン: ssllabs.com ... VULNERABLE!

私はここで私の心を失っています...助けてください！

更新 2 :問題が何であるかを把握しようとして 2 日間失われた後... RedHat から提案された修正には、sslProtocol ではなく要素 sslProtocol***s*** が含まれていました (末尾に「s」がないことに注意してください)。私が使用していたもので、公式の JbossWeb ドキュメントhttp://docs.jboss.org/jbossweb/2.1.x/config/http.htmlに記載されています

sslProtocols = "TLSv1,TLSv1.1,TLSv1.2" を追加し、「ciphers」要素を削除しました。すべてが期待どおりに機能します。

0 投票する
2 に答える
1029 参照

ruby-on-rails - PayPal の ActiveMerchant Poodle パッチ

Rails 3、ActiveMerchant 1.5.1 gem、および PayPal Express を使用しています。最近、PayPal で支払いができなくなったため、このエラーが引き続き発生します。

OpenSSL::SSL::SSLError: SSL_connect が返されました = 1 エラー番号 = 0 状態 = SSLv3 読み取りサーバー証明書 B: 証明書の検証に失敗しました

これはPoodle に対する PayPal の対応に関連していると思います。これらの PayPal の変更または SSL 3.0 の脆弱性全般に対処する ActiveMerchant 用のパッチはありますか?

0 投票する
1 に答える
54 参照

ssl - TLS(トランスポート層セキュリティ)はHTTPSに対応していますか?

SSLv3 で利用可能な脆弱性のため、SSLv3 を TLS 1.0 に変更します ( https://access.redhat.com/articles/1232123 ) TLS 1.0 が HTTPS をサポートできるかどうかわかりませんか? これについて私にアドバイスしてください。この分野の先輩によって書かれた公式文書は大歓迎です

0 投票する
1 に答える
662 参照

ssl - セルフホスト Web API 2 (OWIN) & SSL 3 POODLE?

セルフホステッド WebAPI アプリケーションが POODLE 攻撃の影響を受けるかどうか疑問に思っていました。netsh を使用して、Web API 2 アプリケーションで SSLCERT を構成しています。SSLv3 を無効にする方法はありますか?

ありがとう。


12345678910