Google объявил уязвимость в протоколе SSLv3, которая
... позволяет сетевому злоумышленнику вычислить открытый текст защищенных соединений.
Эта уязвимость получила обозначение CVE-2014-3566 и маркетинговое название POODLE.
Если у меня есть веб-сайт по адресу `https://www.example.com/, как я могу узнать, затрагивает ли меня эта уязвимость?
С появлением POODLE все комплекты шифров, используемые SSLv3, были скомпрометированы, и протокол следует считать безвозвратно нарушенным.
Вы можете проверить, доступен ли ваш сайт через SSLv3 с помощью curl(1):
curl -v -3 -X HEAD https://www.example.com
В -v аргумент включает подробный вывод, -3 заставляет curl использовать SSLv3, а -X HEAD ограничивает вывод при успешном соединении.
Если вы не уязвимы, вы не сможете подключиться, и ваш вывод должен выглядеть примерно так:
* SSL peer handshake failed, the server most likely requires a client certificate to connect
Если вы уязвимы, вы должны увидеть нормальный вывод соединения, включая строку:
* SSL 3.0 connection using SSL_NULL_WITH_NULL_NULL
Через SSL доступны не только веб-сайты. Mail, irc и LDAP - это три примера служб, доступных через защищенные соединения, которые также уязвимы для POODLE, когда они принимают соединения SSLv3.
Чтобы подключиться к службе с помощью SSLv3, вы можете использовать openssl(1) s_client(1) команда:
openssl s_client -connect imap.example.com:993 -ssl3 < /dev/null
В -connect аргумент требует hostname:port параметр, -ssl3 аргумент ограничивает версии протокола, согласованные с SSLv3, и конвейер в /dev/null к STDIN немедленно прерывает соединение после его открытия.
При успешном подключении SSLv3 включен; если вы получите ssl handshake failure тогда это не так.
По Security SE есть отличный вопрос и ответ: https://security.stackexchange.com/questions/70719/ssl3-poodle-vulnerability
Если вы хотите сделать быструю проверку, перейдите по указанному ниже URL-адресу. Он довольно хорошо справляется со всеми функциями SSL, включая проверку POODLE.