Deaktivering af SSLv3

POODLE (Padding Oracle On Downgraded Legacy Encryption) er en sårbarhed, der blev fundet den 14. oktober 2014, som gør det muligt for en angriber at læse enhver krypteret information ved hjælp af SSLv3-protokollen ved at udføre et man-in-the-middle-angreb. Selvom mange programmer bruger SSLv3 som en reserve, er det kommet til det punkt, hvor det bør deaktiveres - da mange klienter kan blive tvunget til at bruge SSLv3. At tvinge en klient til SSLv3 øger chancen for, at et angreb finder sted. Denne artikel viser dig, hvordan du deaktiverer SSLv3 i udvalgte softwareapplikationer, der almindeligvis bruges i dag.

Deaktivering af SSLv3 på Nginx

Gå til konfigurationsfilen, hvor dine serveroplysninger er gemt. For eksempel /etc/nginx/sites-enabled/ssl.example.com.conf(udskiftning af stien i overensstemmelse med din konfiguration). I filen skal du se efter ssl_protocols. Sørg for, at denne linje eksisterer og matcher følgende:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Dette vil gennemtvinge brugen af ​​TLS og dermed deaktivere SSLv3 (og eventuelle ældre eller forældede protokoller). Genstart nu din Nginx-server ved at køre en af ​​følgende kommandoer.

CentOS 7 :

systemctl restart nginx 

Ubuntu/Debian :

service nginx restart

Deaktivering af SSLv3 på Apache

For at deaktivere SSLv3 skal du gå til din modulkonfigurationsmappe for Apache. På Ubuntu/Debian kan det være /etc/apache2/mod-available. Mens det på CentOS kan være placeret i /etc/httpd/conf.d. Se efter ssl.conffilen. Åbn ssl.confog find SSLProtocoldirektivet. Sørg for, at denne linje eksisterer og matcher følgende:

SSLProtocol all -SSLv3 -SSLv2

Når du er færdig, skal du gemme og derefter genstarte din server ved at køre en af ​​følgende kommandoer.

For Ubuntu/Debian-kørsel:

CentOS 7 :

systemctl restart httpd

Ubuntu/Debian :

service apache2 restart

Deaktivering af SSLv3 på Postfix

Gå til dit postfixbibliotek. Det er typisk /etc/postfix/. Åbn main.cffilen og se efter smtpd_tls_mandatory_protocols. Sørg for, at denne linje eksisterer og matcher følgende:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Dette vil tvinge TLSv1.1 og TLSv1.2 til at blive aktiveret og brugt på din Postfix-server. Når du er færdig, skal du gemme og genstarte.

CentOS 7 :

 systemctl restart postfix

Ubuntu/Debian :

service postfix restart

Deaktivering af SSLv3 på Dovecot

Åbn filen på /etc/dovecot/conf.d/10-ssl.conf. Find derefter den linje, der indeholder, ssl_protocolsog sørg for, at den matcher følgende:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

Når du er færdig, skal du gemme og genstarte Dovecot.

CentOS 7 :

systemctl restart dovecot

Ubuntu/Debian :

service dovecot restart

Tester at SSLv3 er deaktiveret

For at bekræfte, at SSLv3 er deaktiveret på din webserver, skal du køre følgende kommando (erstat domæne og IP i overensstemmelse hermed):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Du vil se output svarende til følgende:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Hvis du vil bekræfte, at din server bruger TLS, skal du køre den samme kommando, men uden -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Du bør se lignende oplysninger vist. Find Protocollinjen og bekræft, at den bruger TLSv1.X(hvor X er 1 eller 2 afhængigt af din konfiguration). Hvis du ser dette, har du deaktiveret SSLv3 på din webserver.