Bagaimana cara menonaktifkan SSLv3 di Apache?

Semua orang tampaknya berbicara tentang kerentanan POODLE hari ini. Dan semua orang merekomendasikan untuk menonaktifkan SSLv3 di Apache menggunakan direktif konfigurasi berikut:

SSLProtocol All -SSLv2 -SSLv3

bukannya default

SSLProtocol All -SSLv2

Saya telah melakukan itu, dan tidak ada sukacita - setelah pengujian berulang kali dengan berbagai alat ( ini yang cepat ), saya menemukan bahwa SSLv3 diterima dengan senang hati oleh server saya.

Ya, saya memang me-restart Apache. Ya, saya melakukan rekursif greppada semua file konfigurasi, dan saya tidak memiliki penggantian apa pun di mana pun. Dan tidak, saya tidak menggunakan beberapa versi kuno Apache:

[root@server ~]# apachectl -v
Server version: Apache/2.2.15 (Unix)
Server built:   Jul 23 2014 14:17:29

Jadi, apa yang menyebabkannya? Bagaimana seseorang benar-benar menonaktifkan SSLv3 di Apache?

Saya memiliki masalah yang sama ... Anda harus memasukkan SSLProtocol all -SSLv2 -SSLv3dalam setiap bait VirtualHost di httpd.conf

Bait VirtualHost umumnya menjelang akhir file httpd.conf. Jadi misalnya:

...
...
<VirtualHost your.website.example.com:443>
    DocumentRoot /var/www/directory
    ServerName your.website.example.com

    ...
    SSLEngine on
    ...
    SSLProtocol all -SSLv2 -SSLv3
    ...
</VirtualHost>

Juga periksa ssl.conf atau httpd-ssl.conf atau serupa karena mereka dapat diatur di sana, tidak harus di httpd.conf

Saya memiliki masalah yang sama pada Ubuntu 14.04. Setelah membaca ini, saya mengedit bagian "SSLProtocol" di /etc/apache2/mods-available/ssl.conf.

• dari: SSLProtocol all
• untuk: SSLProtocol all -SSLv2 -SSLv3 -TLSV1

Tapi itu tidak berhasil. Jadi saya mengedit bagian berikut juga "SSLCipherSuite" di /etc/apache2/mods-available/ssl.conf.

• dari: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
• untuk: SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SSLv3:!SSLv2:!TLSv1

Dan sekarang ini bekerja untuk saya.

Omong-omong, Cipher Suites tidak terpengaruh oleh POODLE, hanya protokolnya - tetapi sebagian besar peramban boleh saja dengan Cipher Suite SSLv3 yang dinonaktifkan.

Jangan gunakan ini untuk Server Surat! Atau Anda akan (mungkin) menghadapi masalah karena tidak dapat mengambil Surat Anda di beberapa perangkat.

Untuk Ubuntu 10,04

Untuk menonaktifkan SSLv3 di semua vhosts aktif, Anda memerlukan opsi di

/etc/apache2/mods-available/ssl.conf:

SSLProtocol all -SSLv2 -SSLv3

Saya memiliki masalah yang sama pagi ini, dan saya menemukan virtualhost lain yang mengaktifkan SSLv3, sehingga seluruh server merespons koneksi SSLv3.

Jadi, pastikan tidak ada host Anda yang memiliki SSLv3 aktif.

Pastikan SSLCipherSuite tidak mengandung! SSLv3. Dalam konteks itu, itu juga merujuk ke TLS1.0 dan TLS1.1.

Misalnya, jika konfigurasi Anda adalah SSLProtocol All , hanya TLS1.2 yang akan tersedia karena cara SSLCipherSuite dikonfigurasi dengan! SSLv3.

Untuk pengguna CentOs yang mengalami kesulitan mengedit file konfigurasi SSL Anda melalui SSH, coba nonaktifkan SSLv3 melalui WHM :

Langkah 1: Navigasikan ke Editor Sertakan

-Login ke WHM -Buka layar "Apache Configuration", dan klik "Sertakan Editor"

Langkah 2: Edit Termasuk

-Di bawah "Pre Main Include", pilih "Semua Versi". Dengan cara ini server Anda akan terlindungi jika Anda mengubah versi Apache Anda. Saat dipilih, masukkan yang berikut ke dalam kotak teks:

Pada CentOS / RHEL 6.x:

SSLHonorCipherOrder Pada
SSLProtocol -All + TLSv1 + TLSv1.1 + TLSv1.2

Pada CentOS / RHEL 5.x:

SSLHonorCipherOrder Di
SSLProtocol -All + TLSv1

... dan kemudian klik Perbarui .

Setelah Anda mengklik pembaruan, Anda akan diminta untuk me-restart Apache; lakukan saat ini.

sumber asli: https://www.liquidweb.com/kb/how-to-disable-sslv3-and-protect-your-whmcpanel-server-from-poodle/

Metode yang Anda gunakan adalah untuk versi baru dari Apache dan openssl. Mungkin saja versi baru ini tidak diinstal pada sistem Anda, memverifikasi versi yang diinstal saat ini.

Karena SSLv2dan SSLv3keduanya rentan terhadap beberapa serangan, jadi akan lebih baik menggunakan TLS saja. Jadi modifikasi file conf apache Anda sebagai berikut,

SSLProtocol TLSv1 TLSv1.1 TLSv1.2

atau

SSLProtocol TLSv1

Saya memiliki masalah yang sama dan saya telah memeriksa bahwa saya memiliki semua pengaturan apache yang sesuai dengan benar.

Namun yang saya lewatkan adalah saya menggunakan nginx sebagai proxy terbalik di depan apache. Saya juga kebetulan menggunakan Plesk dan ini dari panduan perbaikan POODLE mereka :

Jika Anda menjalankan Nginx, sertakan baris berikut dalam konfigurasi Anda di antara arahan SSL lainnya di /etc/nginx/nginx.conf:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;