Bagaimana cara menonaktifkan TLS 1.1 & 1.2 di Apache?

Saya memiliki server Ubuntu 12.04.2 LTS yang menjalankan Apache 2.2.22 dengan mod_ssl dan OpenSSL v1.0.1.

Dalam konfigurasi vhosts saya (semua hal lain yang berperilaku seperti yang saya harapkan), saya memiliki SSLProtocolgaris dengannya -all +SSLv3.

Dengan konfigurasi itu, TLS 1.1 & 1.2 diaktifkan dan berfungsi dengan benar - yang merupakan kontra-intuitif bagi saya, seperti yang saya harapkan bahwa hanya SSLv3 yang akan diaktifkan mengingat konfigurasi itu.

Saya dapat mengaktifkan / menonaktifkan TLSv1 dengan baik -/+TSLv1, dan berfungsi seperti yang diharapkan. Tapi +/-TLSv1.1dan +/-TLSv1.2bukan opsi konfigurasi yang valid - jadi saya tidak bisa menonaktifkannya seperti itu.

Adapun mengapa saya ingin melakukan ini - saya sedang berurusan dengan aplikasi pihak ketiga (yang saya tidak punya kendali atas) yang memiliki beberapa perilaku buggy dengan server yang mengaktifkan TLS, dan saya harus menonaktifkan sepenuhnya untuk bergerak maju.

Penasaran dengan bug ini (dan ya, saya sudah bisa mereproduksinya) Saya telah melihat kode sumber untuk versi stabil terbaru mod_ssldan menemukan penjelasan. Bersabarlah, ini akan membuat amatir-stack-overflowish:

Ketika SSLProtocoltelah diuraikan, hasilnya akan chartampak seperti ini:

0 1 0 0
^ ^ ^ ^
| | | SSLv1
| | SSLv2
| SSLv3
TLSv1

Setelah memulai konteks server baru, SEMUA protokol yang tersedia akan diaktifkan, dan yang di atas chardiperiksa menggunakan beberapa operasi DAN bitwise bagus untuk menentukan protokol apa yang harus dinonaktifkan . Dalam hal ini, di mana SSLv3 adalah satu-satunya protokol yang telah diaktifkan secara eksplisit, 3 lainnya akan dinonaktifkan.

OpenSSL mendukung pengaturan protokol untuk TLSv1.1, tetapi karena SSLProtocoltidak memperhitungkan opsi ini, ia tidak pernah dinonaktifkan. OpenSSL v1.0.1 memiliki beberapa masalah yang diketahui dengan TLSv1.2 tetapi jika didukung, saya kira hal yang sama berlaku untuk TLSv1.1; itu tidak dikenali / ditangani oleh mod_ssl dan karenanya tidak pernah dinonaktifkan.

Referensi Kode Sumber untuk mod_ssl:

SSLProtocolakan diuraikan pada baris 925 di pkg.sslmod/ssl_engine_config.c
Opsi yang digunakan dalam fungsi di atas didefinisikan pada baris 444 di pkg.sslmod/mod_ssl.h
Semua protokol akan diaktifkan di baris 586 di pkg.sslmod/ssl_engine_init.ckemudian protokol tertentu dinonaktifkan di baris berikutnya

Bagaimana cara menonaktifkannya?

Anda punya beberapa pilihan:

1. Nonaktifkan di file konfigurasi OpenSSL dengan:
   Protocols All,-TLSv1.1,-TLSv1.2
2. Menulis ulang mod_ssl;-)

Masalah ini juga dibahas di komentar di halaman mod_ssl Apache: http://httpd.apache.org/docs/2.2/mod/mod_ssl.html#comment_1136

Jika Ubuntu 12.04 memiliki Apache 2.2.23, masalah tidak akan terjadi. Menurut komentar, dimungkinkan untuk mengaktifkan TLSv1.1 dan TLSv1.2, tetapi TLSv1.0 kemudian diaktifkan juga:

SSLProtocol All -SSLv2 -SSLv3

Pertama-tama, Anda harus mengidentifikasi apa vhost default untuk port 443 di server Anda (vhost SSL pertama yang dimuat oleh Apache) dan mengedit file konfigurasinya. Sebagian besar pengguna memiliki file ssl.conf di server mereka, dengan vhost untuk port 443 dikonfigurasi di sana. Ketika nama file ini dimulai dengan "s", itu akan dimuat sebelum vhosts dikonfigurasi di vhosts.conf (yang dimulai dengan "v"). Jadi, periksa apakah ini kasus Anda (jawabannya adalah "ya" untuk hampir semua orang) dan ubah protokol dalam file itu . Cukup!

Masalah serupa telah diposting di sini: Bagaimana cara menonaktifkan TLS 1.1 & 1.2 di Apache? . Menurut HBruijn:

Kecuali Anda memiliki IP VirtualHosts, dalam praktiknya pengaturan dari kemunculan pertama direktif SSLProtocol digunakan untuk seluruh server dan / atau semua VirtualHost berbasis nama yang mendukung TLS

Dan satu lagi di sini: Apakah mungkin untuk mengatur SSLProtocol di Apache untuk VirtualHost (pudel) tunggal? . Menurut vallismortis:

Anda dapat mengatur SSLProtocol hanya untuk VirtualHost pertama dalam file konfigurasi. Semua entri VirtualHost berikutnya akan mewarisi pengaturan itu dari entri pertama dan secara diam-diam mengabaikan pengaturan mereka sendiri karena bug OpenSSL.

Omong-omong: vhost default di server, untuk port yang diberikan, adalah vhost yang menjawab permintaan untuk port itu, yang tiba di server tanpa identifikasi nama server (atau dengan nama server yang salah). Contoh: IP yang diketik di bilah alamat browser Anda atau pengalihan yang salah yang disebabkan oleh tabel DNS yang salah.