Menü
Avatar von martinr
  • martinr

mehr als 1000 Beiträge seit 11.07.2000

Es gibt viele Gründe gegen MSIE 7/8 auf XP, aber Poodle gehoert nicht dazu

Es gibt viele gute Gründe gegen die Verwendung von MSIE 7/8 auf
Windows XP (oder auch gegen die Verwendung von MSIE ganz generell auf
allen Windows-Versionen), aber Poodle gehoert wohl eindeutig nicht
dazu.

Mit der Installation eines MSIE 7 oder MSIE 8 auf Windows XP bzw.
2003 wird per default in den Internet Options das Protokoll TLSv1.0
aktiviert und das Protokoll SSLv2 deaktiviert.  Da der MSIE auf
XP/2003 keinen gefährlichen Reconnect Fallback kennt, ist man vom
regulären Schutz des TLS-Handshakes vor Poodle geschützt solange der
angesprochene Server selbst nicht auf SSLv3 beschränkt ist.

Mit Win7,8 & 8.1 sieht das anders aus, dort macht der MSIE ähnlich
unsichere Fallback reconnects wie andere "moderne" Browser, und
handelt sich damit dieselben Sicherheits-Probleme ein, Poodle
eingeschlossen.

Aber statt eine transparentes Version-Upgrade innerhalb des
geschützten TLS handshakes zu spezifizieren und Implementieren, von
dem alle Anwendungen oberhalb von TLS profitieren würden, haben die
Browser-Hersteller sich vor Jahren entschieden lieber die dreckigen,
gefährlichen und langsamen und ungeschützten Reconnect Fallbacks auf
Anwendungsebene über TLS einzubauen -- und fangen sich seit Jahren
ständig neue Probleme damit ein.


Bewerten
- +
Anzeige