Come disabilitare SSLv3 in Apache?

Oggi sembra che tutti stiano parlando della vulnerabilità di POODLE . E tutti raccomandano di disabilitare SSLv3 in Apache usando la seguente direttiva di configurazione:

SSLProtocol All -SSLv2 -SSLv3

invece del valore predefinito

SSLProtocol All -SSLv2

L'ho fatto, e senza gioia - dopo aver testato ripetutamente con vari strumenti ( eccone uno veloce ), trovo che SSLv3 sia felicemente accettato dal mio server.

Sì, ho riavviato Apache. Sì, ho fatto un ricorsivo grepsu tutti i file di configurazione e non ho alcuna sostituzione da nessuna parte. E no, non sto usando una versione antica di Apache:

[root@server ~]# apachectl -v
Server version: Apache/2.2.15 (Unix)
Server built:   Jul 23 2014 14:17:29

Quindi, cosa dà? Come si disabilita davvero SSLv3 in Apache?

Ho avuto lo stesso problema ... Devi includere SSLProtocol all -SSLv2 -SSLv3in ogni stanza VirtualHost in httpd.conf

Le stanze VirtualHost sono generalmente verso la fine del file httpd.conf. Quindi per esempio:

...
...
<VirtualHost your.website.example.com:443>
    DocumentRoot /var/www/directory
    ServerName your.website.example.com

    ...
    SSLEngine on
    ...
    SSLProtocol all -SSLv2 -SSLv3
    ...
</VirtualHost>

Controlla anche ssl.conf o httpd-ssl.conf o simili perché potrebbero essere impostati lì, non necessariamente in httpd.conf

Ho avuto lo stesso problema su Ubuntu 14.04. Dopo aver letto questo, ho modificato la sezione "SSLProtocol" in /etc/apache2/mods-available/ssl.conf.

• a partire dal: SSLProtocol all
• per: SSLProtocol all -SSLv2 -SSLv3 -TLSV1

Ma non ha funzionato. Così ho modificato anche la seguente sezione "SSLCipherSuite" in /etc/apache2/mods-available/ssl.conf.

• a partire dal: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
• per: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SSLv3:!SSLv2:!TLSv1

E ora ora funziona per me.

A proposito, le suite di crittografia non sono influenzate da POODLE, ma solo dal protocollo, ma la maggior parte dei browser va bene con una suite di crittografia SSLv3 disabilitata.

Non usarlo per un Mailserver! O dovrai (forse) affrontare il problema di non essere in grado di recuperare la tua posta su alcuni dispositivi.

Per Ubuntu 10.04

Per disabilitare SSLv3 su tutti i vhosts attivi è necessaria l'opzione in

/etc/apache2/mods-available/ssl.conf:

SSLProtocol all -SSLv2 -SSLv3

Stamattina ho avuto un problema simile e ho trovato un altro virtualhost che abilita SSLv3, quindi l'intero server risponde alle connessioni SSLv3.

Quindi, assicurati che nessuno dei tuoi host abbia SSLv3 attivo.

Assicurarsi che SSLCipherSuite non contenga! SSLv3. In tale contesto, si riferisce anche a TLS1.0 e TLS1.1.

Ad esempio, se la configurazione è SSLProtocol All , sarà disponibile solo TLS1.2 a causa della configurazione di SSLCipherSuite con! SSLv3.

Per gli utenti di CentO che hanno problemi a modificare il file di configurazione SSL tramite SSH, prova a disabilitare SSLv3 tramite WHM :

Passaggio 1: vai all'Editor di inclusione

-Accedere a WHM -Aprire la schermata "Configurazione di Apache" e fare clic su "Includi editor"

Passaggio 2: modifica le Include

-Sotto "Includi pre-main", seleziona "Tutte le versioni". In questo modo il tuo server sarà protetto se cambi la tua versione di Apache. Quando selezionato, inserisci quanto segue nella casella di testo:

Su CentOS / RHEL 6.x:

SSLHonorCipherOrder su
SSLProtocol -All + TLSv1 + TLSv1.1 + TLSv1.2

Su CentOS / RHEL 5.x:

SSLHonorCipherOrder Su
SSLProtocol -All + TLSv1

... e quindi fai clic su Aggiorna .

Dopo aver fatto clic su Aggiorna, ti verrà richiesto di riavviare Apache; fallo in questo momento.

fonte originale: https://www.liquidweb.com/kb/how-to-disable-sslv3-and-protect-your-whmcpanel-server-from-poodle/

Il metodo che stai utilizzando è per la nuova versione di Apache e Openssl. Potrebbe essere possibile che una nuova versione di questi non sia installata sul tuo sistema, verifica l'attuale versione installata.

Dato SSLv2che SSLv3entrambi sono vulnerabili ad alcuni attacchi, sarebbe meglio usare solo TLS. Quindi modifica il tuo file conf di apache come segue,

SSLProtocol TLSv1 TLSv1.1 TLSv1.2

o

SSLProtocol TLSv1

Ho avuto un problema simile e ho verificato di aver corretto tutte le impostazioni appropriate di Apache.

Tuttavia quello che mi mancava era che avevo nginx come proxy inverso di fronte ad Apache. Mi capita anche di usare Plesk e questo è dalla loro guida alle correzioni POODLE :

Se stai eseguendo Nginx, includi la seguente riga nella tua configurazione tra le altre direttive SSL nella /etc/nginx/nginx.conf:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;