Làm cách nào để tắt SSLv3 trong Apache?

Mọi người dường như đang nói về lỗ hổng POODLE ngày hôm nay. Và mọi người khuyên bạn nên vô hiệu hóa SSLv3 trong Apache bằng cách sử dụng chỉ thị cấu hình sau:

SSLProtocol All -SSLv2 -SSLv3

thay vì mặc định

SSLProtocol All -SSLv2

Tôi đã làm điều đó và không có niềm vui - sau khi thử nghiệm nhiều lần với nhiều công cụ khác nhau ( đây là một công cụ nhanh ), tôi thấy rằng SSLv3 được máy chủ của tôi chấp nhận một cách vui vẻ.

Vâng, tôi đã khởi động lại Apache. Có, tôi đã thực hiện đệ quy greptrên tất cả các tệp cấu hình và tôi không có bất kỳ ghi đè nào ở bất cứ đâu. Và không, tôi không sử dụng một số phiên bản cổ của Apache:

[root@server ~]# apachectl -v
Server version: Apache/2.2.15 (Unix)
Server built:   Jul 23 2014 14:17:29

Vì vậy, những gì cho? Làm thế nào để một người thực sự vô hiệu hóa SSLv3 trong Apache?

Tôi đã có cùng một vấn đề ... Bạn phải bao gồm SSLProtocol all -SSLv2 -SSLv3trong mỗi khổ Virtualhost trong httpd.conf

Các khổ thơ Virtualhost thường hướng đến cuối tệp httpd.conf. Ví dụ:

...
...
<VirtualHost your.website.example.com:443>
    DocumentRoot /var/www/directory
    ServerName your.website.example.com

    ...
    SSLEngine on
    ...
    SSLProtocol all -SSLv2 -SSLv3
    ...
</VirtualHost>

Đồng thời kiểm tra ssl.conf hoặc httpd-ssl.conf hoặc tương tự vì chúng có thể được đặt ở đó, không nhất thiết phải ở httpd.conf

Tôi gặp vấn đề tương tự trên Ubuntu 14.04. Sau khi đọc nó, tôi chỉnh sửa phần "SSLProtocol" trong /etc/apache2/mods-available/ssl.conf.

• từ: SSLProtocol all
• đến: SSLProtocol all -SSLv2 -SSLv3 -TLSV1

Nhưng nó không hoạt động. Vì vậy, tôi đã chỉnh sửa phần sau đây "SSLCodesSuite" trong /etc/apache2/mods-available/ssl.conf.

• từ: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
• đến: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SSLv3:!SSLv2:!TLSv1

Và bây giờ nó làm việc cho tôi.

Nhân tiện, Bộ mật mã không bị ảnh hưởng bởi POODLE, chỉ có giao thức - nhưng hầu hết các trình duyệt đều ổn với Bộ mật mã SSLv3 bị vô hiệu hóa.

Đừng sử dụng cái này cho Mailserver! Hoặc bạn sẽ (có thể) đối mặt với vấn đề không thể tải Thư của mình trên một số thiết bị.

Dành cho Ubuntu 10.04

Để tắt SSLv3 trên tất cả các vhost đang hoạt động, bạn cần có tùy chọn trong

/etc/apache2/mods-av Available / ssl.conf:

SSLProtocol all -SSLv2 -SSLv3

Tôi đã gặp một vấn đề tương tự sáng nay và tôi đã tìm thấy một máy chủ ảo khác kích hoạt SSLv3, vì vậy toàn bộ máy chủ phản hồi các kết nối SSLv3.

Vì vậy, hãy đảm bảo rằng không có máy chủ nào của bạn có SSLv3 hoạt động.

Hãy chắc chắn SSLCodesSuite không chứa! SSLv3. Trong bối cảnh đó, nó cũng đề cập đến TLS1.0 và TLS1.1.

Ví dụ: nếu cấu hình của bạn là SSLProtocol All , chỉ TLS1.2 sẽ khả dụng do cách SSLCodesSuite được định cấu hình với! SSLv3.

Đối với người dùng CentO gặp sự cố khi chỉnh sửa tệp cấu hình SSL của bạn qua SSH, hãy thử tắt SSLv3 qua WHM :

Bước 1: Điều hướng đến Trình chỉnh sửa bao gồm

-Tạo đăng nhập vào WHM -Mở màn hình "Cấu hình Apache" và nhấp vào "Bao gồm trình chỉnh sửa"

Bước 2: Chỉnh sửa Bao gồm

-Under "Bao gồm chính trước", chọn "Tất cả các phiên bản". Bằng cách này, máy chủ của bạn sẽ được bảo vệ nếu bạn thay đổi phiên bản Apache của mình. Khi được chọn, nhập thông tin sau vào hộp văn bản:

Trên CentOS / RHEL 6.x:

SSLHonorCodesOrder Trên
SSLProtocol -Tất cả + TLSv1 + TLSv1.1 + TLSv1.2

Trên CentOS / RHEL 5.x:

SSLHonorCodesOrder trên
SSLProtocol -Tất cả + TLSv1

Sau đó bấm Cập nhật .

Khi bạn nhấp vào cập nhật, bạn sẽ được nhắc khởi động lại Apache; làm như vậy vào lúc này

nguồn gốc: https : //www.l Liquidweb.com/kb/how-to-disable-sslv3-and-protect-your-whmcpanel-server-from-poodle/

Phương thức mà bạn đang sử dụng là dành cho phiên bản mới của Apache và Openssl. Có thể phiên bản mới này không được cài đặt trên hệ thống của bạn, hãy xác minh phiên bản đã cài đặt hiện tại.

Vì SSLv2và SSLv3cả hai đều dễ bị tổn thương trong một số cuộc tấn công, vì vậy sẽ tốt hơn nếu chỉ sử dụng TLS. Vì vậy, sửa đổi tập tin apache conf của bạn như sau,

SSLProtocol TLSv1 TLSv1.1 TLSv1.2

hoặc là

SSLProtocol TLSv1

Tôi đã có một vấn đề tương tự và tôi đã kiểm tra rằng tôi có tất cả các cài đặt apache phù hợp chính xác.

Tuy nhiên, điều tôi đã bỏ lỡ là tôi đã có nginx như một proxy ngược trước apache. Tôi cũng tình cờ sử dụng Plesk và đây là từ hướng dẫn sửa lỗi POODLE của họ :

Nếu bạn đang chạy Nginx, hãy bao gồm dòng sau trong cấu hình của bạn trong số các chỉ thị SSL khác trong /etc/nginx/nginx.conf:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;