web-dev-qa-db-ja.com

ApacheでSSLv3を無効にする方法は？

今日、誰もが POODLE脆弱性 について話しているようです。また、次の構成ディレクティブを使用して、ApacheでSSLv3を無効にすることをお勧めします。

SSLProtocol All -SSLv2 -SSLv3

デフォルトの代わりに

SSLProtocol All -SSLv2

私はそれを実行しましたが、喜びはありません。さまざまなツールで繰り返しテストした後（ これは速いツールです ）、SSLv3が私のサーバーに受け入れられていることがわかりました。

はい、Apacheを再起動しました。はい、すべての構成ファイルに対して再帰的なgrepを実行しましたが、どこにもオーバーライドを設定していません。いいえ、Apacheの古いバージョンを使用していません。

[root@server ~]# apachectl -v
Server version: Apache/2.2.15 (Unix)
Server built:   Jul 23 2014 14:17:29

だから、何を与えるのですか？ ApacheでSSLv3をreally無効にするにはどうすればよいですか？

sslapache-httpd
76
Bogdan Stăncescu

同じ問題が発生しました... httpd.confのすべてのVirtualHostスタンザ内にSSLProtocol all -SSLv2 -SSLv3を含める必要があります

VirtualHostスタンザは通常、httpd.confファイルの終わりにあります。だから例えば：

...
...
<VirtualHost your.website.example.com:443>
    DocumentRoot /var/www/directory
    ServerName your.website.example.com

    ...
    SSLEngine on
    ...
    SSLProtocol all -SSLv2 -SSLv3
    ...
</VirtualHost>

Ssl.confやhttpd-ssl.confなども設定されている可能性があるため、httpd.confにあるとは限らないため、これらも確認してください。

80
darcoli

Ubuntu 14.04でも同じ問題が発生しました。これを読んだ後、/etc/Apache2/mods-available/ssl.confの「SSLProtocol」セクションを編集しました。

  • から：SSLProtocol all
  • 宛先：SSLProtocol all -SSLv2 -SSLv3 -TLSV1

しかし、それはうまくいきませんでした。そこで、次のセクションも編集しました/etc/Apache2/mods-available/ssl.confの「SSLCipherSuite」。

  • から：SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
  • 宛先：SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SSLv3:!SSLv2:!TLSv1

そして今、私にとってはうまくいきます。

ちなみに、暗号スイートはPOODLEの影響は受けず、プロトコルのみが影響を受けます。ただし、ほとんどのブラウザは、SSLv3暗号スイートを無効にしても問題ありません。

これをメールサーバーに使用しないでください！または、（たぶん）一部のデバイスでメールを取得できないという問題に直面するでしょう。

10
BlueM00n

Ubuntu 10.04の場合

すべてのアクティブな仮想ホストでSSLv3を無効にするには、次のオプションが必要です

/ etc/Apache2/mods-available/ssl.conf：

SSLProtocol all -SSLv2 -SSLv3
4
Hubsidubsidu

今朝も同様の問題があり、SSLv3を有効にしている別の仮想ホストを見つけたため、サーバー全体がSSLv3接続に応答しました。

したがって、SSLv3がアクティブになっているホストがないことを確認してください。

2
Bob Maerten

SSLCipherSuite しないでくださいに！SSLv3が含まれていることを確認してください。そのコンテキストでは、TLS1.0およびTLS1.1も指します。

たとえば、設定がSSLProtocol Allの場合、SSLCipherSuiteが！SSLv3で構成されているため、TLS1.2のみが使用可能になります。

1
anon

使用している方法は、Apacheとopensslの新しいバージョン用です。これらの新しいバージョンがシステムにインストールされていない可能性があります。現在インストールされているバージョンを確認してください。

SSLv2およびSSLv3両方とも一部の攻撃に対して脆弱であるため、TLSのみを使用することをお勧めします。したがって、Apache confファイルを次のように変更します。

SSLProtocol TLSv1 TLSv1.1 TLSv1.2

または

SSLProtocol TLSv1
0
P4cK3tHuNt3R

CentOsユーザーがSSH経由でSSL構成ファイルを編集できない場合は、WHM経由でSSLv3を無効にしてみてください：

ステップ1：インクルードエディターに移動します

-WHMにログイン-[Apache設定]画面を開き、[エディターを含める]をクリックします。

ステップ2：インクルードを編集

-「Pre Main Include」の下で、「All Versions」を選択します。これにより、Apacheのバージョンを変更した場合にサーバーが保護されます。選択したら、テキストボックスに次のように入力します。

CentOS/RHEL 6.xの場合：

SSLHonorCipherOrder On
SSLProtocol -All + TLSv1 + TLSv1.1 + TLSv1.2

CentOS/RHEL 5.xの場合：

SSLHonorCipherOrder On
SSLProtocol -All + TLSv1

…次にUpdateをクリックします。

[更新]をクリックすると、Apacheを再起動するように求められます。この時点でそうします。

元のソース： https://www.liquidweb.com/kb/how-to-disable-sslv3-and-protect-your-whmcpanel-server-from-poodle/

0
Isaias Valencia

同様の問題があり、適切なApache設定がすべて正しいことを確認しました。

しかし、私が見逃したのは、Apacheの前にnginxをリバースプロキシとして使用していたことです。私はたまたまPleskを使用していますが、これは POODLE修正ガイド によるものです。

Nginxを実行している場合は、/etc/nginx/nginx.conf内の他のSSLディレクティブの構成に次の行を含めます。

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
0
icc97