2014年10月，存严Google安全团队公布了一个叫POODLE的重设攻击方式。这个漏洞直接给SSL 3.0判了死刑。计缺SSL 3.0是陷漏1996年网景公司发布的加密协议，当时看来是存严个进步，但设计上的重设几个致命缺陷让它撑不到二十年就成了定时炸弹。

问题出在它的计缺加密模式上。SSL 3.0用的陷漏是CBC模式，这种模式要求每个数据块加密前先跟前一块的存严密文做异或运算。听起来没问题，重设但SSL 3.0没有对填充数据进行完整性校验。计缺攻击者可以在中间人位置截获加密流量，陷漏篡改填充字节，存严然后观察服务器返回的重设错误信息。如果填充错误和MAC校验错误返回不同的计缺报错，攻击者就能一个字节一个字节地猜出明文内容。POODLE就是利用这个逻辑，平均每256次请求能解出一个字节的Cookie或密码。

更麻烦的是降级攻击。SSL 3.0和TLS 1.0的握手过程允许客户端和服务器协商版本。攻击者可以拦截ClientHello消息，把它改成只支持SSL 3.0。很多服务器为了兼容老客户端，会接受这个降级请求。结果就是，即使浏览器和服务器都支持TLS 1.2，攻击者也能把连接强行拉到SSL 3.0上，然后实施POODLE攻击。2014年的时候，Firefox和Chrome默认还开着SSL 3.0回退，这个降级路径直接让整个加密体系形同虚设。

还有个设计上的硬伤：SSL 3.0的MAC计算不包括握手消息。这意味着攻击者可以篡改握手过程中的某些字段，比如密码套件的选择，而MAC校验不会发现。TLS 1.0后来把握手消息纳入MAC计算，但SSL 3.0已经积重难返。另外，它的密钥派生函数用的是MD5和SHA-1的组合，MD5在2004年就被王小云团队证明能碰撞，SHA-1在2017年也被Google的SHAttered攻击攻破。虽然SSL 3.0的密钥派生不是直接碰撞攻击的目标，但整个密码学基础已经摇摇欲坠。

实际影响有多大？2014年POODLE公布后，CloudFlare统计发现全球仍有约0.3%的HTTPS流量在使用SSL 3.0。别小看这个数字，当时每天有数十亿次HTTPS请求，0.3%意味着每天有几百万次连接暴露在风险中。银行、电商、邮箱服务都受影响。很多老旧的嵌入式设备、POS机、甚至一些政府网站因为升级成本高，迟迟不肯关掉SSL 3.0。2015年，PCI安全标准委员会直接发话：2016年6月30日之前，所有处理支付卡的系统必须禁用SSL 3.0，否则不合规。这是行业被逼到墙角后的反应。

浏览器厂商的动作更直接。2014年11月，Chrome 39和Firefox 34默认禁用了SSL 3.0回退。2015年，Chrome 40彻底移除了SSL 3.0支持。微软在2015年也发布了补丁，让IE 11默认不再使用SSL 3.0。苹果的Safari在OS X 10.11和iOS 9里跟进。到2016年，主流浏览器基本都杀掉了SSL 3.0。但服务器端没那么快。根据SSL Labs的统计，2016年初还有约1.5%的网站支持SSL 3.0，到2018年才降到0.1%以下。这个尾巴拖了四年。

回头看，SSL 3.0的失败不是某个单一漏洞造成的。CBC填充、降级协商、MAC覆盖不全、弱哈希函数，这些设计决策在1996年可能还算合理，但密码学分析在之后的二十年里进步太快。更关键的是，协议设计时没有考虑攻击者能主动篡改流量并观察错误信息。POODLE不是第一个针对SSL 3.0的攻击，2009年的BEAST攻击针对TLS 1.0的CBC模式，但SSL 3.0因为缺少显式IV，问题更严重。2011年的CRIME攻击利用压缩侧信道，虽然不直接针对SSL 3.0，但暴露了协议层侧信道的风险。这些攻击叠加起来，让SSL 3.0彻底失去了修复价值。

现在打开任何现代浏览器，访问一个只支持SSL 3.0的网站，你会看到“无法建立安全连接”的提示。这个协议已经死了，死得彻底。但它的教训还在：加密协议的设计不能只考虑功能，还要考虑攻击者能做什么。填充、协商、MAC覆盖，这些细节决定了一个协议能活多久。SSL 3.0活了十九年，对于一个有严重设计缺陷的协议来说，已经太长了。