Java kullanıcıları SSL V3.0 POODLE (CVE-2014-3566) açığından etkilenmediklerini nasıl teyit edebilirler?


20 Ocak 2015 Kritik Yazılım Eki Güncelleme sürümlerinden (JDK 8u31, JDK 7u75, JDK 6u91 ve üzeri) itibaren, Java Runtime Environment, SSLv3'ü öndeğer olarak devre dışı bırakmıştır. Bu ve daha sonraki sürümleri kullandığınızı doğruladıysanız başka bir eyleme ihtiyaç duyulmaması gerekir.

Oracle daha önceki sürümler için, aşağıda applet'ler ve Web Start için SSLv3'ü devre dışı bırakmaya yönelik arka planı ve talimatı sağlamıştır. Ayrıca, geliştiriciler ve sistem yöneticileri için, Java'nın kullanıldığı tüm durumlarda Java SE'de Java uygulamalarının SSL v3.0 kullanmasını engelleme yöntemi konusunda da detaylı talimat sunmaktadır.

Arka Plan

POODLE açığı (CVE-2014-3566), Secure Socket Layer (SSL) v3 protokolünde ciddi bir hatayı ortaya çıkardı. SSLv3 protokolü artık önerilmiyor ve yukarıda belirtildiği gibi Java Runtime Environment'ta kullanımı devre dışı bırakıldı. SSLv3'ü kesinlikle yeniden etkinleştirmesi gereken kullanıcılar uygun Sürüm Notları'na bakmalıdır.

Ancak; çoğu kullanıcı Java'yı sadece tarayıcıda (Applet'ler ve WebStart) kullanmaktadır. Aşağıda, SSL3.0'ın etkinlik durumunu kontrol etme (ve devre dışı bırakma) yöntemine ilişkin daha basit talimat yer almaktadır.

Applet'ler ve WebStart için SSLv3'ü Devre Dış Bırakma

Oracle Java'nın Eklenti ve WebStart uygulamaları, Java Denetim Masası kullanılarak yapılandırılabilir.

Gelişmiş sekmesinde altında, Gelişmiş Güvenlik Ayarları bölümünde, aşağıda gösterildiği gibi sadece TLS'yi etkin bırakacak şekilde tüm SSL protokollerinin/formatının seçimini kaldırın. (20 Ocak 2015 sürümünden itibaren, SSLv3 artık seçilebilir bir tercih olarak görünmemektedir).

Not: Bir tarayıcı açıkken Denetim Masası üzerinden yapılan değişiklikler, tarayıcı yeniden başlatıldıktan sonra geçerlilik kazanacaktır. Değişikliklerin geçerlilik kazanması için Java WebStart Uygulamaları da yeniden başlatılmalıdır.

Java Denetim Masası - 8u31, 7u75 ve 6u91'den önceki sürümler
Java Denetim Masası SSLv3 seçeneğini kaldırma

İLGILI BILGILER

Ocak 2015 Kritik Yazılım Eki Güncelleme sürümü hakkında daha fazla bilgi uygun sürüm notlarında bulunabilir.