SSLv3 išjungimas

POODLE (padding Oracle On Downgraded Legacy Encryption) yra pažeidžiamumas, kuris buvo rastas 2014 m. spalio 14 d., leidžiantis užpuolikui perskaityti bet kokią užšifruotą informaciją naudojant SSLv3 protokolą, atliekant „man-in-the-middle“ ataką. Nors daugelis programų naudoja SSLv3 kaip atsarginį variantą, ji pasiekė tašką, kai jį reikia išjungti, nes daugelis klientų gali būti priversti naudoti SSLv3. Privertus klientą naudoti SSLv3, padidėja atakos tikimybė. Šiame straipsnyje bus parodyta, kaip išjungti SSLv3 kai kuriose šiandien dažniausiai naudojamose programinės įrangos programose.

SSLv3 išjungimas „Nginx“.

Eikite į konfigūracijos failą, kuriame saugoma jūsų serverio informacija. Pavyzdžiui, /etc/nginx/sites-enabled/ssl.example.com.conf(atitinkamai pakeisdami kelią pagal jūsų konfigūraciją). Failo viduje ieškokite ssl_protocols. Įsitikinkite, kad ši eilutė egzistuoja ir atitinka šiuos dalykus:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Tai privers naudoti TLS ir išjungs SSLv3 (ir visus senesnius ar pasenusius protokolus). Dabar iš naujo paleiskite Nginx serverį vykdydami vieną iš šių komandų.

CentOS 7 :

systemctl restart nginx 

Ubuntu/Debian :

service nginx restart

SSLv3 išjungimas „Apache“.

Norėdami išjungti SSLv3, eikite į „Apache“ modulio konfigūracijos katalogą. Ubuntu / Debian tai gali būti /etc/apache2/mod-available. Tuo tarpu CentOS sistemoje jis gali būti /etc/httpd/conf.d. Ieškokite ssl.conffailo. Atidarykite ssl.confir suraskite SSLProtocoldirektyvą. Įsitikinkite, kad ši eilutė egzistuoja ir atitinka šiuos dalykus:

SSLProtocol all -SSLv3 -SSLv2

Baigę išsaugokite, tada iš naujo paleiskite serverį vykdydami vieną iš šių komandų.

„Ubuntu“ / „Debian“ paleidimui:

CentOS 7 :

systemctl restart httpd

Ubuntu/Debian :

service apache2 restart

SSLv3 išjungimas sistemoje „Postfix“.

Eikite į savo postfixkatalogą. Paprastai tai yra /etc/postfix/. Atidarykite main.cffailą ir ieškokite smtpd_tls_mandatory_protocols. Įsitikinkite, kad ši eilutė egzistuoja ir atitinka šiuos dalykus:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Tai privers įgalinti TLSv1.1 ir TLSv1.2 ir naudoti juos jūsų Postfix serveryje. Baigę išsaugokite ir paleiskite iš naujo.

CentOS 7 :

 systemctl restart postfix

Ubuntu/Debian :

service postfix restart

SSLv3 išjungimas Dovecot

Atidarykite failą, esantį adresu /etc/dovecot/conf.d/10-ssl.conf. Tada suraskite eilutę, kurioje yra, ssl_protocolsir įsitikinkite, kad ji atitinka šiuos dalykus:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

Baigę išsaugokite ir iš naujo paleiskite „Dovecot“.

CentOS 7 :

systemctl restart dovecot

Ubuntu/Debian :

service dovecot restart

Tikrinama, ar SSLv3 išjungtas

Norėdami patikrinti, ar jūsų žiniatinklio serveryje išjungtas SSLv3, paleiskite šią komandą (atitinkamai pakeiskite domeną ir IP):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Pamatysite išvestį, panašią į toliau pateiktą:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Jei norite patvirtinti, kad jūsų serveris naudoja TLS, paleiskite tą pačią komandą, bet be -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Turėtumėte matyti panašią informaciją. Raskite Protocoleilutę ir patvirtinkite, kad ji naudojama TLSv1.X(X yra 1 arba 2, priklausomai nuo konfigūracijos). Jei matote tai, vadinasi, sėkmingai išjungėte SSLv3 savo žiniatinklio serveryje.