Онемогућавање ССЛв3

ПООДЛЕ (Паддинг Орацле Он Довнградед Легаци Енцриптион) је рањивост која је пронађена 14. октобра 2014. године, која омогућава нападачу да прочита било коју шифровану информацију користећи ССЛв3 протокол тако што ће извршити напад „човјек у средини“. Иако многи програми користе ССЛв3 као резервни, дошло је до тачке у којој би требало да буде онемогућен – јер многи клијенти могу бити приморани да користе ССЛв3. Присиљавање клијента на ССЛв3 повећава шансе за напад. Овај чланак ће вам показати како да онемогућите ССЛв3 у одабраним софтверским апликацијама које се данас најчешће користе.

Онемогућавање ССЛв3 на Нгинк-у

Идите на конфигурациону датотеку у којој се чувају информације о вашем серверу. На пример, /etc/nginx/sites-enabled/ssl.example.com.conf(замена путање у складу са вашом конфигурацијом). У датотеци потражите ssl_protocols. Уверите се да ова линија постоји и да се подудара са следећим:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Ово ће наметнути употребу ТЛС-а, чиме ће се онемогућити ССЛв3 (и сви старији или застарели протоколи). Сада поново покрените свој Нгинк сервер покретањем једне од следећих команди.

ЦентОС 7 :

systemctl restart nginx 

Убунту/Дебиан :

service nginx restart

Онемогућавање ССЛв3 на Апацхе-у

Да бисте онемогућили ССЛв3, идите на директоријум конфигурације модула за Апацхе. На Убунту/Дебиан-у може бити /etc/apache2/mod-available. Док се на ЦентОС-у може налазити у /etc/httpd/conf.d. Потражите ssl.confдатотеку. Отворите ssl.confи пронађите SSLProtocolдирективу. Уверите се да ова линија постоји и да се подудара са следећим:

SSLProtocol all -SSLv3 -SSLv2

Када завршите, сачувајте, а затим поново покрените сервер покретањем једне од следећих команди.

За Убунту/Дебиан покретање:

ЦентОС 7 :

systemctl restart httpd

Убунту/Дебиан :

service apache2 restart

Онемогућавање ССЛв3 на Постфик-у

Идите до свог postfixименика. Типично је /etc/postfix/. Отворите main.cfдатотеку и потражите smtpd_tls_mandatory_protocols. Уверите се да ова линија постоји и да се подудара са следећим:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Ово ће приморати ТЛСв1.1 и ТЛСв1.2 да буду омогућени и коришћени на вашем Постфик серверу. Када завршите, сачувајте и поново покрените.

ЦентОС 7 :

 systemctl restart postfix

Убунту/Дебиан :

service postfix restart

Онемогућавање ССЛв3 на Довецоту

Отворите датотеку која се налази на /etc/dovecot/conf.d/10-ssl.conf. Затим пронађите ред који садржи ssl_protocolsи уверите се да одговара следећем:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

Када завршите, сачувајте и поново покрените Довецот.

ЦентОС 7 :

systemctl restart dovecot

Убунту/Дебиан :

service dovecot restart

Тестирање да је ССЛв3 онемогућен

Да бисте проверили да ли је ССЛв3 онемогућен на вашем веб серверу, покрените следећу команду (замените домен и ИП у складу са тим):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Видећете излаз сличан следећем:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Ако желите да потврдите да ваш сервер користи ТЛС, покрените исту команду, али без -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Требало би да видите сличне информације приказане. Пронађите Protocolлинију и потврдите да се користи TLSv1.X(са Кс је 1 или 2 у зависности од ваше конфигурације). Ако видите ово, онда сте успешно онемогућили ССЛв3 на свом веб серверу.