Деактивиране на SSLv3

POODLE (Padding Oracle On Downgraded Legacy Encryption) е уязвимост, открита на 14 октомври 2014 г., която позволява на нападателя да чете всяка криптирана информация, използвайки протокола SSLv3, като извърши атака „човек в средата“. Въпреки че много програми използват SSLv3 като резервен вариант, се стигна до момента, в който трябва да бъде деактивиран - тъй като много клиенти могат да бъдат принудени да използват SSLv3. Принудителното използване на клиент в SSLv3 увеличава вероятността от атака. Тази статия ще ви покаже как да деактивирате SSLv3 в избрани софтуерни приложения, които обикновено се използват днес.

Деактивиране на SSLv3 на Nginx

Отидете до конфигурационния файл, където се съхранява информацията за вашия сървър. Например /etc/nginx/sites-enabled/ssl.example.com.conf(подмяна на пътя според вашата конфигурация). Във файла потърсете ssl_protocols. Уверете се, че този ред съществува и съответства на следното:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Това ще наложи използването на TLS, като по този начин ще деактивира SSLv3 (и всички по-стари или остарели протоколи). Сега рестартирайте вашия Nginx сървър, като изпълните една от следните команди.

CentOS 7 :

systemctl restart nginx 

Ubuntu/Debian :

service nginx restart

Деактивиране на SSLv3 на Apache

За да деактивирате SSLv3, отидете в директорията за конфигурация на вашия модул за Apache. В Ubuntu/Debian може да е /etc/apache2/mod-available. Докато в CentOS той може да се намира в /etc/httpd/conf.d. Потърсете ssl.confфайла. Отворете ssl.confи намерете SSLProtocolдирективата. Уверете се, че този ред съществува и съответства на следното:

SSLProtocol all -SSLv3 -SSLv2

След като приключите, запазете и рестартирайте сървъра си, като изпълните една от следните команди.

За стартиране на Ubuntu/Debian:

CentOS 7 :

systemctl restart httpd

Ubuntu/Debian :

service apache2 restart

Деактивиране на SSLv3 на Postfix

Отидете до вашата postfixдиректория. Обикновено е /etc/postfix/. Отворете main.cfфайла и потърсете smtpd_tls_mandatory_protocols. Уверете се, че този ред съществува и съответства на следното:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Това ще принуди TLSv1.1 и TLSv1.2 да бъдат активирани и използвани на вашия Postfix сървър. След като приключите, запазете и рестартирайте.

CentOS 7 :

 systemctl restart postfix

Ubuntu/Debian :

service postfix restart

Деактивиране на SSLv3 на Dovecot

Отворете файла, намиращ се на /etc/dovecot/conf.d/10-ssl.conf. След това намерете реда, който съдържа, ssl_protocolsи се уверете, че съответства на следното:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

След като сте готови, запазете и рестартирайте Dovecot.

CentOS 7 :

systemctl restart dovecot

Ubuntu/Debian :

service dovecot restart

Тестване, че SSLv3 е деактивиран

За да проверите дали SSLv3 е деактивиран на вашия уеб сървър, изпълнете следната команда (заменете домейна и IP съответно):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Ще видите изход, подобен на следния:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Ако искате да потвърдите, че вашият сървър използва TLS, изпълнете същата команда, но без -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Трябва да видите подобна информация. Намерете Protocolлинията и потвърдете, че тя използва TLSv1.X(като X е 1 или 2 в зависимост от вашата конфигурация). Ако видите това, значи успешно сте деактивирали SSLv3 на вашия уеб сървър.