Çaktivizimi i SSLv3

POODLE (Padding Oracle On Downgraded Legacy Encryption) është një cenueshmëri që u gjet më 14 tetor 2014, e cila lejon një sulmues të lexojë çdo informacion të koduar duke përdorur protokollin SSLv3 duke kryer një sulm njeri në mes. Edhe pse shumë programe përdorin SSLv3 si një kthim prapa, ai ka ardhur në pikën ku duhet të çaktivizohet - pasi shumë klientë mund të detyrohen të përdorin SSLv3. Detyrimi i një klienti në SSLv3 rrit mundësinë e një sulmi. Ky artikull do t'ju tregojë se si të çaktivizoni SSLv3 në aplikacione softuerike të zgjedhura që përdoren zakonisht sot.

Çaktivizimi i SSLv3 në Nginx

Shkoni te skedari i konfigurimit ku ruhen informacionet e serverit tuaj. Për shembull, /etc/nginx/sites-enabled/ssl.example.com.conf(duke zëvendësuar shtegun në përputhje me konfigurimin tuaj). Brenda skedarit, kërkoni ssl_protocols. Sigurohuni që kjo linjë ekziston dhe përputhet me sa vijon:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Kjo do të detyrojë përdorimin e TLS, duke çaktivizuar kështu SSLv3 (dhe çdo protokoll më të vjetër ose të vjetëruar). Tani rinisni serverin tuaj Nginx duke ekzekutuar një nga komandat e mëposhtme.

CentOS 7 :

systemctl restart nginx 

Ubuntu/Debian :

service nginx restart

Çaktivizimi i SSLv3 në Apache

Për të çaktivizuar SSLv3, shkoni te drejtoria e konfigurimit të modulit tuaj për Apache. Në Ubuntu/Debian mund të jetë /etc/apache2/mod-available. Ndërsa në CentOS, ai mund të jetë i vendosur në /etc/httpd/conf.d. Kërkoni ssl.confskedarin. Hapeni ssl.confdhe gjeni SSLProtocoldirektivën. Sigurohuni që kjo linjë ekziston dhe përputhet me sa vijon:

SSLProtocol all -SSLv3 -SSLv2

Pasi të keni mbaruar, ruani dhe më pas rinisni serverin tuaj duke ekzekutuar një nga komandat e mëposhtme.

Për ekzekutimin e Ubuntu/Debian:

CentOS 7 :

systemctl restart httpd

Ubuntu/Debian :

service apache2 restart

Çaktivizimi i SSLv3 në Postfix

Drejtohuni te postfixdrejtoria juaj . Është tipike /etc/postfix/. Hapni main.cfskedarin dhe kërkoni për smtpd_tls_mandatory_protocols. Sigurohuni që kjo linjë ekziston dhe përputhet me sa vijon:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Kjo do të detyrojë TLSv1.1 dhe TLSv1.2 të aktivizohen dhe përdoren në serverin tuaj Postfix. Pasi të keni përfunduar, ruani dhe rinisni.

CentOS 7 :

 systemctl restart postfix

Ubuntu/Debian :

service postfix restart

Çaktivizimi i SSLv3 në Dovecot

Hapni skedarin e vendosur në /etc/dovecot/conf.d/10-ssl.conf. Më pas, gjeni rreshtin që përmban ssl_protocolsdhe sigurohuni që përputhet me sa vijon:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

Pasi të keni mbaruar, ruani dhe rinisni Dovecot.

CentOS 7 :

systemctl restart dovecot

Ubuntu/Debian :

service dovecot restart

Testimi që SSLv3 është i çaktivizuar

Për të verifikuar që SSLv3 është i çaktivizuar në serverin tuaj të internetit, ekzekutoni komandën e mëposhtme (zëvendësoni domenin dhe IP-në në përputhje me rrethanat):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Do të shihni dalje të ngjashme me sa vijon:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Nëse dëshironi të konfirmoni që serveri juaj po përdor TLS, ekzekutoni të njëjtën komandë por pa -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Ju duhet të shihni informacion të ngjashëm të shfaqur. Gjeni Protocollinjën dhe konfirmoni që ajo është duke përdorur TLSv1.X(me X është 1 ose 2 në varësi të konfigurimit tuaj). Nëse e shihni këtë, atëherë keni çaktivizuar me sukses SSLv3 në serverin tuaj të internetit.