Apache'de SSLv3 nasıl devre dışı bırakılır?

Herkes bugün POODLE güvenlik açığı hakkında konuşuyor gibi görünüyor . Ve herkes aşağıdaki yapılandırma direktifini kullanarak Apache'de SSLv3'ün devre dışı bırakılmasını tavsiye eder:

SSLProtocol All -SSLv2 -SSLv3

varsayılan yerine

SSLProtocol All -SSLv2

Bunu yaptım ve neşe yok - çeşitli araçlarla tekrar tekrar test ettikten sonra ( burada hızlı bir tane var ), SSLv3'ün sunucum tarafından mutlu bir şekilde kabul edildiğini buldum.

Evet, Apache'yi yeniden başlattım. Evet, greptüm yapılandırma dosyalarında özyinelemeyi yaptım ve hiçbir yerde geçersiz kılma hakkım yok. Ve hayır, Apache'nin eski bir versiyonunu kullanmıyorum:

[root@server ~]# apachectl -v
Server version: Apache/2.2.15 (Unix)
Server built:   Jul 23 2014 14:17:29

Peki ne verir? Biri Apache'deki SSLv3'ü gerçekten nasıl devre dışı bırakıyor?

Ben de aynı problemi yaşadım ... SSLProtocol all -SSLv2 -SSLv3httpd.conf içindeki her VirtualHost stanza'ya dahil etmek zorundasınız

VirtualHost stanzaları genellikle httpd.conf dosyasının sonuna doğrudır. Yani örneğin:

...
...
<VirtualHost your.website.example.com:443>
    DocumentRoot /var/www/directory
    ServerName your.website.example.com

    ...
    SSLEngine on
    ...
    SSLProtocol all -SSLv2 -SSLv3
    ...
</VirtualHost>

Ayrıca, ssl.conf veya httpd-ssl.conf veya benzerini de kontrol edin, çünkü bunlar kesinlikle httpd.conf’da ayarlanmamış olabilir.

Ubuntu 14.04'te de aynı problem vardı. Bunu okuduktan sonra, "SSLProtocol" bölümünü düzenledim /etc/apache2/mods-available/ssl.conf.

• dan: SSLProtocol all
• için: SSLProtocol all -SSLv2 -SSLv3 -TLSV1

Ama işe yaramadı. Bu yüzden aşağıdaki bölümü de "SSLCipherSuite" içinde düzenledim /etc/apache2/mods-available/ssl.conf.

• dan: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
• için: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SSLv3:!SSLv2:!TLSv1

Ve şimdi şimdi benim için çalışıyor.

Bu arada, Cipher Suites POODLE'den etkilenmez, yalnızca protokol - ancak çoğu tarayıcı devre dışı bırakılmış bir SSLv3 Cipher Suite ile tamamdır.

Bunu bir Posta sunucusu için kullanmayın! Ya da (belki) e-postalarınızı bazı cihazlara alamama sorunuyla karşı karşıya kalacaksınız.

Ubuntu 10.04 için

Tüm aktif vhost'larda SSLv3'ü devre dışı bırakmak için

/etc/apache2/mods-available/ssl.conf:

SSLProtocol all -SSLv2 -SSLv3

Bu sabah da benzer bir sorun yaşadım ve SSLv3'ü etkinleştiren başka bir sanal sunucu buldum, böylece sunucunun tamamı SSLv3 bağlantılarına yanıt veriyor.

Bu nedenle, hiçbir ana makinenizin SSLv3 etkin olmadığından emin olun.

SSLCipherSuite emin olun gelmez ! SSLv3 içerirler. Bu bağlamda, aynı zamanda TLS1.0 ve TLS1.1 anlamına gelir.

Örneğin, eğer yapılandırmanız SSLProtocol All ise , SSLCipherSuite'ın! SSLv3 ile nasıl yapılandırıldığına bağlı olarak sadece TLS1.2 mevcut olacaktır.

CentOs kullanıcıları SSL konfigürasyon dosyanızı SSH ile düzenlemekte sorun yaşıyorsa, SSLv3'ü WHM ile devre dışı bırakmayı deneyin :

Adım 1: Dahil Editöre Git

- WHM'ye giriş yapın - "Apache Konfigürasyonu" ekranını açın ve "Editör Ekle" yi tıklayın

Adım 2: Eklentileri Düzenleyin

-Bir "Ana Dahil Et" altından "Tüm Sürümler" i seçin. Bu şekilde, Apache sürümünüzü değiştirirseniz sunucunuz korunacaktır. Seçildiğinde, aşağıdakileri metin kutusuna girin:

CentOS / RHEL 6.x'te:

SSLHonorCipherOrder
SSLProtocol'da -Tüm + TLSv1 + TLSv1.1 + TLSv1.2

CentOS / RHEL 5.x'te:

SSLHonorCipherOrder
SSLProtocol'da -Tüm + TLSv1

… Ve ardından Güncelle öğesini tıklayın .

Güncellemeyi tıkladığınızda, Apache'yi yeniden başlatmanız istenir; şu anda bunu yapın.

orijinal kaynak: https://www.liquidweb.com/kb/how-to-disable-sslv3-and-protect-your-whmcpanel-server-from-poodle/

Kullanmakta olduğunuz yöntem Apache ve Openssl'nin yeni versiyonları içindir. Bunların yeni sürümünün sisteminize yüklenmemiş olması mevcut kurulu sürümü doğrulamak olabilir.

Yana SSLv2ve SSLv3her ikisi de bazı saldırıların savunmasız, yüzden sadece TLS kullanmak daha iyi olacaktır. Böylece, apache conf dosyanızı aşağıdaki gibi değiştirin,

SSLProtocol TLSv1 TLSv1.1 TLSv1.2

veya

SSLProtocol TLSv1

Benzer bir sorun yaşadım ve uygun tüm apache ayarlarının doğru olduğunu kontrol ettim.

Ancak kaçırdığım şey apache önünde ters vekil olarak nginx olduğumdu. Ayrıca Plesk'i kullanıyorum ve bu onların POODLE düzeltmeleri kılavuzundan :

Nginx kullanıyorsanız, yapılandırmanıza aşağıdaki SSL direktiflerinin arasına aşağıdaki satırı ekleyin /etc/nginx/nginx.conf:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;