Ik zit even mijn Internet Explorer te configureren. Nu zie ik dat bij de geavanceerde settings TLS 1.0, TLS 1.1 en TLS 1.2 zijn ingeschakeld. Kan dit kwaad ivm de Poodle lek? Of heeft dat alleen betrekking op SSL 3.0? Zowel SSL 2.0 en 3.0 staan uitgeschakeld.
Als ik het goed begrijp (zie het onderdeel "Recommendations") is het uitzetten van SSL 3.0 aan de clientzijde afdoende om je te beschermen, maar dit is slechts in eerste oogopslag.
Je zou ook TLS 1.0 em 1.1 uit kunnen zetten om een downgrade attack tegen te gaan, of met byte values gaan pielen zoals in bovenstaand document beschreven staat.
Ik heb hier verder totaal geen ervaring mee, maar als je het mij vraagt is het het simpelste om gewoon alles behalve TLS 1.2 uit te zetten? Dit soort aanvallen lijken gebaseerd op de flexibiliteit in het soort/de versie encryptie die je gebruikt, dus als je deze flexibiliteit wegneemt ben je minder vatbaar hiervoor?
Thomas, thanks. Ik meende ooit gelezen te hebben dat je TLS ook moest uitzetten, maar daar kan ik niks meer over terugvinden. Ik heb nu in de browser SSL 2.0 en 3.0 uitgeschakeld staan. Ik denk dat dat voldoende is. Hoe ik het begrijp kan een man-in-the-middle attack worden uitgevoerd, waardoor ze je browser laten terugvallen naar het oude protocol SSL 3.0. Die heb ik dus uitgeschakeld. Dus volgens mij dan probleem opgelost?
In jouw document lees ik nu ook "The attack described above requires an SSL 3.0 connection to be established, so disabling the SSL 3.0 protocol in the client or in the server (or both) will completely avoid it."
