Salut,
Shamayo a écritLa faille ne peut être corrigée.
Oui, ils ont en effet utilisé le verbe "mitigate" lors de la sortie de la mise à jour du paquet, pas "fix".
Je suis d'accord avec toi, le meilleur moyen c'est d'arrêter d'utiliser SSLv3. Malheureusement, c'est au niveau des serveurs qu'il faut faire ça, à notre niveau, en tant que "simples utilisateurs", il n'y a pas grand chose qu'on puisse faire.
Martial34 a écritJ’ai Openssl 1.0.1f-1ubuntu2.7 et Libssl 1.0.1f-1ubuntu2.7. Est-il vraiment nécessaire de faire la modification dans about:config ?
Si je ne me trompe pas, le changement de version d'OpenSSL côté client ne change rien : c'est le serveur qui doit être mis à jour.
Gaara a écritMais qu'est-ce qu'on peut faire? rien je suppose.
Et du coup, est-il dangereux de se connecter à sa banque?
Non, on ne peut rien faire concernant la faille en elle-même.
On peut configurer le navigateur web pour ne pas utiliser SSLv3.
Se connecter à sa banque n'est pas plus dangereux qu'avant, par contre la faille en question est maintenant découverte, il est possible de faire l'objet d'une telle attaque. Cela étant dit, une attaque de type MITM n'est pas facile à mettre en œuvre, ce n'est pas non plus une faille béante.
bishop a écritCes sites n'ont rien combler.
[...]
Cela voudrait plutôt dire que le serveurs de ces sites n'utilisent pas les derniers protocoles de chiffrage SSL v3 mis en cause en ce moment
[...]
On pourrait aussi dire "Bonnes nouvelles! Vous utilisez une distribution de 10 ans d'âge, c'est une bonne cuvée, et les protocoles mis en cause n'existaient pas à cette époque
Non : SSL v3 n'est pas un "dernier protocole". C'est un vieux machin qui date de 1996, on aurait déjà dû l'abandonner depuis longtemps, au profit de TLS v1, v1.1 ou v1.2, ses successeurs successifs.
