Jak wyłączyć SSLv3 w Apache?

Wydaje się, że wszyscy dzisiaj mówią o podatności na POODLE . I wszyscy zalecają wyłączenie SSLv3 w Apache przy użyciu następującej dyrektywy konfiguracyjnej:

SSLProtocol All -SSLv2 -SSLv3

zamiast domyślnego

SSLProtocol All -SSLv2

Zrobiłem to i nie mam radości - po wielokrotnych testach z różnymi narzędziami ( tutaj jest szybkie ), stwierdzam, że mój serwer chętnie akceptuje SSLv3.

Tak, zrestartowałem Apache. Tak, zrobiłem rekursywny grepdla wszystkich plików konfiguracyjnych i nigdzie nie mam nadpisania. I nie, nie używam jakiejś starożytnej wersji Apache:

[root@server ~]# apachectl -v
Server version: Apache/2.2.15 (Unix)
Server built:   Jul 23 2014 14:17:29

Co więc daje? Jak można naprawdę wyłączyć SSLv3 w Apache?

Miałem ten sam problem ... Musisz uwzględnić SSLProtocol all -SSLv2 -SSLv3w każdej sekcji VirtualHost w httpd.conf

Sekcje VirtualHost znajdują się zazwyczaj pod koniec pliku httpd.conf. Na przykład:

...
...
<VirtualHost your.website.example.com:443>
    DocumentRoot /var/www/directory
    ServerName your.website.example.com

    ...
    SSLEngine on
    ...
    SSLProtocol all -SSLv2 -SSLv3
    ...
</VirtualHost>

Sprawdź także ssl.conf lub httpd-ssl.conf lub podobny, ponieważ można je tam ustawić, niekoniecznie w httpd.conf

Miałem ten sam problem na Ubuntu 14.04. Po przeczytaniu tego zredagowałem sekcję „SSLProtocol” w /etc/apache2/mods-available/ssl.conf.

• od: SSLProtocol all
• do: SSLProtocol all -SSLv2 -SSLv3 -TLSV1

Ale to nie zadziałało. Dlatego też edytowałem następującą sekcję „SSLCipherSuite” w /etc/apache2/mods-available/ssl.conf.

• od: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
• do: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SSLv3:!SSLv2:!TLSv1

A teraz to działa dla mnie.

Nawiasem mówiąc, na zestawy szyfrów nie ma wpływu POODLE, tylko protokół - ale większość przeglądarek jest zgodna z wyłączonym pakietem szyfrów SSLv3.

Nie używaj tego do serwera pocztowego! Albo napotkasz (być może) problem z niemożnością pobrania wiadomości e-mail na niektórych urządzeniach.

Dla Ubuntu 10.04

Aby wyłączyć SSLv3 na wszystkich aktywnych vhostach, potrzebujesz tej opcji w

/etc/apache2/mods-available/ssl.conf:

SSLProtocol all -SSLv2 -SSLv3

Miałem podobny problem dziś rano i znalazłem inny wirtualny host obsługujący SSLv3, więc cały serwer odpowiada na połączenia SSLv3.

Upewnij się, że żaden z Twoich hostów nie ma aktywnego protokołu SSLv3.

Upewnij się, że SSLCipherSuite nie zawiera! SSLv3. W tym kontekście odnosi się również do TLS1.0 i TLS1.1.

Na przykład, jeśli twoja konfiguracja to SSLProtocol All , tylko TLS1.2 będzie dostępny z powodu konfiguracji SSLCipherSuite z! SSLv3.

W przypadku użytkowników CentO, którzy mają problemy z edycją pliku konfiguracyjnego SSL przez SSH, spróbuj wyłączyć SSLv3 przez WHM :

Krok 1: Przejdź do edytora dołączania

-Zaloguj się do WHM -Otwórz ekran „Konfiguracja Apache” i kliknij „Dołącz edytor”

Krok 2: Edytuj dołączenia

- W „Pre Main Include” wybierz „All Versions”. W ten sposób twój serwer będzie chroniony, jeśli zmienisz swoją wersję Apache. Po wybraniu wprowadź następujące informacje w polu tekstowym:

W CentOS / RHEL 6.x:

SSLHonorCipherOrder On
SSLProtocol -All + TLSv1 + TLSv1.1 + TLSv1.2

W CentOS / RHEL 5.x:

SSLHonorCipherOrder On
SSLProtocol -All + TLSv1

… A następnie kliknij Aktualizuj .

Po kliknięciu aktualizacji pojawi się monit o ponowne uruchomienie Apache; zrób to w tej chwili.

oryginalne źródło: https://www.liquidweb.com/kb/how-to-disable-sslv3-and-protect-your-whmcpanel-server-from-poodle/

Metodą, której używasz, jest nowa wersja Apache i openssl. Możliwe, że nowa wersja nie została zainstalowana w systemie, sprawdź aktualną zainstalowaną wersję.

Ponieważ SSLv2i SSLv3oba są wrażliwe na niektóre ataki, lepiej byłoby używać tylko TLS. Więc zmodyfikuj plik conf Apache w następujący sposób,

SSLProtocol TLSv1 TLSv1.1 TLSv1.2

lub

SSLProtocol TLSv1

Miałem podobny problem i sprawdziłem, czy wszystkie prawidłowe ustawienia apache są prawidłowe.

Jednak brakowało mi to, że miałem nginx jako odwrotne proxy przed apache. Zdarza się również, że używam Plesk, a to z ich przewodnika po poprawkach POODLE :

Jeśli korzystasz z Nginx, dołącz następujący wiersz do konfiguracji wśród innych dyrektyw SSL w /etc/nginx/nginx.conf:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;