Este artigo mostrará como desabilitar SSL 3.0 e TLS 1.0 no seu navegador.
Introdução
Após o desagrado do POODLE, tanto o Google quanto o Chrome protegeram suas versões mais recentes do navegador (Firefox 35, Chrome 40) proibindo totalmente o uso do protocolo de criptografia SSL 3.0, já que o POODLE utiliza esse protocolo como um vetor de ataque. (A Microsoft lançou vários patches e correções rápidas para o Internet Explorer 11 e afirma que desativará completamente o SSL 3.0 em abril de 2015.)
Desativar SSL 3.0 é definitivamente uma coisa boa. No entanto, a revelação subsequente de que TLS 1.0 é tb vulnerável parece tê-los pego de surpresa. Neste artigo, mostraremos como se proteger forçando seu navegador a usar só o mais seguro TLS 1.1 e TLS 1.2 protocolos.
NOTA: POODLE e explorações semelhantes funcionam quando o servidor e o navegador são encerrados de uma conexão supostamente segura e podem ser induzidos a usar um protocolo obsoleto. Se você protegeu seu navegador para usar apenas TLS 1.1 / 1.2 mas o servidor do site ainda depende de protocolos mais antigos e inseguros, saiba que você pode ter problemas para se conectar a esse site.
Como desativar o SSL 3.0 e TLS 1.0 no Internet Explorer
- Clique com o botão esquerdo no ícone de engrenagem:
- Selecione “Opções da Internet” no menu suspenso:
- Clique na guia “Avançado”, role para baixo e desmarque “SSL 3.0” e “TLS 1.0".
- Clique em “OK” para aceitar suas alterações, que devem entrar em vigor imediatamente. (Pode ser necessário atualizar seu navegador.)
Como desativar o SSL 3.0 e TLS 1.0 no Firefox
- Na barra de endereço, digite “about: config” e pressione Enter.
- No campo “Pesquisar”, digite “tls”. Encontre e clique duas vezes na entrada “segurança.tls.version.min ”.
- Defina o valor inteiro para “2” para forçar um protocolo mínimo de TLS 1.1 (inserir "3" forçaria TLS
- Esta configuração agora mostrará o novo valor e terá efeito imediatamente (não se esqueça de limpar o cache).
Como desativar o SSL 3.0 e TLS 1.0 no Google Chrome
A ciência continua! Um maciço ponta do chapéu (ou ponta do chapéu maciço) ao comentarista João Giles por apontar isso usando chrome: // flags / é a maneira mais recente e fácil de definir a versão mínima do protocolo no Chrome. Devemos observar que o Google trava um aviso vermelho sobre o uso de sinalizadores - no entanto, nossos testes produziram resultados positivos. John diz:
Para o Chrome, que tal isso ?:
chrome :/ / flags
Em “SSL mínimo /TLS versão suportada. ”, mude de“ Padrão ”para“TLS 1.1 ?.
Em seguida, pressione o botão "Reiniciar agora" na parte inferior da página.
Mais uma vez obrigado, John!
Ao contrário do IE e Firefox, o Chrome pode só ser feito para usar TLS 1.1 / 1.2 por uma opção de linha de comando - um argumento adicionado à string que inicia o navegador. Isso pode ser implementado pela configuração de um atalho, como mostraremos a seguir, mas observe que SOMENTE iniciar o Chrome a partir desse atalho impedirá o uso de protocolos inseguros.
Para criar um atalho seguro:
- Clique com o botão direito na sua área de trabalho e selecione “Novo”, depois “Atalho”.
- No painel “Criar atalho”, navegue até o local de instalação do Chrome e selecione o ícone do Chrome - o local padrão é:
C: Arquivos de programa (x86) GoogleChromeApplicationchrome.exe
- Adicione a seguinte opção de linha de comando
--ssl-version-min=tls1.1após o local do item (ou seja, após a cotação final) para aparecer assim:"C: Arquivos de programa (x86) GoogleChromeApplicationchrome.exe" --ssl-version-min =tls1.1
Certifique-se de separar o interruptor do local com um espaço.
- Nomeie o atalho (SSL.com sugere dar a ele um nome exclusivo que o lembrará de que esse atalho é seguro) e clique em “Concluir”.
- Mais uma vez, a única maneira de ter certeza de que sua sessão do Chrome é segura é usar seu novo atalho.
Continue lendo para descobrir mais sobre:
- Perguntas frequentes sobre SSL /TLS
- Chaves, Certificados e Apertos de Mão
- SSL /TLS e navegação segura na Web
- Obtenção de um SSL /TLS Certificado
