⬇ Scarica il santino: ·
San DROWN, che annegava il TLS nel passato
Patrono dei protocolli che dovevano essere spenti, delle chiavi riusate in due posti e di SSLv2.
Vita
Il 1° marzo 2016 un gruppo internazionale di crittografi rivelò DROWN, la CVE-2016-0800. Bastava che un server, da qualche parte, accettasse ancora il vecchio SSLv2 con la stessa chiave RSA usata altrove perché un attaccante potesse decifrare il traffico TLS moderno di un server diverso. Secondo i ricercatori, al momento dell'annuncio circa un terzo dei server HTTPS era vulnerabile.
Preghiera
O San DROWN, che riporti a galla i protocolli sepolti, fa' che SSLv2 resti spento e le nostre chiavi non girino di server in server. Amen.
Come si festeggia
Si festeggia disattivando SSLv2 ovunque, aggiornando OpenSSL alla 1.0.2g o 1.0.1s e non riusando mai la stessa chiave.
Protocollo che credevi morto, ti tira a fondo il vivo.