Lorsqu'une connexion sécurisée est établie via le protocole TLS entre un ordinateur et un serveur tiers, les deux parties tentent d'utiliser par défaut la dernière version en date, en l'occurrence TLS 1.2. Toutefois, si un problème survient, une version antérieure assurera le chiffrement. Selon Google une personne contrôlant le réseau serait même en mesure de baser le transfert via SSL 3.0 afin de déchiffrer les cookies HTTP.
Comme solution Google demande aux administrateurs de serveurs de désactiver SSL 3.0. La firme californienne ajoute qu'elle testera une version de Chrome sans la prise en charge de SSL 3.0. Mozilla a expliqué que la version 34 de Firefox, attendue fin novembre désactivera SSL 3.0 par défaut. En attendant, il est d'ores et déjà possible de procéder à cette manipulation en installant cet add-on.
Cette vulnérabilité n'est pas sans rappeler la faille Heartbleed, exploitant une faille au sein d'OpenSSL sur laquelle se basaient les versions 1.01 et 1.02 bêta du protocole TLS.
