2014 年今日 Google 公開 POODLE 漏洞，SSL 3.0 走向淘汰

Google 研究員拆穿一個 18 年的設計缺陷

2014 年 10 月 14 日，Google 安全團隊的 Bodo Möller、Thai Duong 和 Krzysztof Kotowicz 公開一個存在於 SSL 3.0 協議設計本身的漏洞，取名 POODLE，全稱「Padding Oracle On Downgraded Legacy Encryption」，編號 CVE-2014-3566。SSL 3.0 在 1996 年推出，到漏洞公開時已經用了近 18 年；當時大部分網站和瀏覽器早已改用較新的 TLS，但為了照顧舊設備，仍然保留 SSL 3.0 作為後備。

攻擊者先逼瀏覽器「降級」

問題就出在這個後備機制。據 eWeek 當日報道，Möller 解釋，攻擊者只要處於網絡中間位置，就可以故意令加密連線失敗，瀏覽器重試時會退回 SSL 3.0，攻擊者再利用 SSL 3.0 處理填充（padding）的缺陷，逐個字節推算出加密內容。按研究員的計算，平均約 256 次 SSL 3.0 請求就能還原一個字節。

Google 當時建議網站管理員盡可能停用 SSL 3.0；做不到的話，就加入 TLS_FALLBACK_SCSV 機制，阻止連線被強制降級。Möller 說，只要客戶端或伺服器其中一方停用 SSL 3.0，就足以避開 POODLE 攻擊。Microsoft 則表示，考慮到攻擊條件，這個漏洞對客戶的風險不算高。

瀏覽器在三個月內相繼停用

漏洞公開後，各大瀏覽器陸續行動。Chrome 39 在 2014 年 11 月取消 SSL 3.0 後備，Chrome 40 在 2015 年 1 月預設完全停用 SSL 3.0；Google 工程師 Adam Langley 當時寫道，仍在使用 SSL 3.0 的網站「需要在 Chrome 40 推出前升級到最少 TLS 1.0」。Firefox 34 在 2014 年 12 月停用 SSL 3.0，Internet Explorer 11 則在 2015 年分兩階段停用後備。

同年 12 月，研究人員再發現 POODLE 的 TLS 變種，部分伺服器即使停用了 SSL 3.0，TLS 實作仍有同類缺陷。到 2015 年 6 月，互聯網工程任務組（IETF）發布 RFC 7568，正式棄用 SSL 3.0，寫明「SSLv3 MUST NOT be used」（不得使用 SSLv3）。

來源

• Google Online Security Blog: This POODLE bites: exploiting the SSL 3.0 fallback (2014-10-14)
• eWeek: POODLE Flaw Found in Legacy SSL 3.0 Encryption (2014-10-15)
• Computerworld: Google to kill off SSL 3.0 in Chrome 40 (2014-10-31)
• RFC 7568: Deprecating Secure Sockets Layer Version 3.0 (2015-06)
• Wikipedia: POODLE