Saudações,
Neste artigo veremos como desativar o SSLv2 em servers que tenham IIS o procedimento é simples, contudo, o reboot é necessário para que as alterações surtam efeito.
Para verificar se seu site https está afetado pela vulnerabilidade, acesso:
Causa
DROWN é uma vulnerabilidade grave que afeta o HTTPS e outros serviços que dependem de SSL e TLS, alguns dos protocolos criptográficos essenciais para a segurança na Internet. Estes protocolos permitem que todos na Internet naveguem na web, usem e-mail, façam compras on-line, e enviem mensagens instantâneas sem terceiros ser capaz de ler a comunicação.
A falha permite que invasores para quebrem a criptografia e leiam as comunicações confidenciais, incluindo senhas, números de cartão de crédito, segredos comerciais ou dados financeiros. Nossas medições indicam 33% de todos os servidores HTTPS são vulneráveis ao ataque.
Solução
- Abra o Regedit
- Navegue até HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\SSL 2.0\
- Verifique se existe uma pasta Server, caso não, crie-a
- Crie um novo DWPRD (32 bits) com o nome “Enable” e defina o valor 0 (zero)
- reinicie o servidor
Após aplicar, verifique o site https://test.drownattack.com se a vulnerabilidade foi corrigida:
Links adicionais:
http://securityint.org/blog/2016/03/02/o-ataque-drown
https://test.drownattack.com
