تعطيل SSLv3

• تعطيل SSLv3 على Nginx
• تعطيل SSLv3 على Apache
• تعطيل SSLv3 على Postfix
• تعطيل SSLv3 على Dovecot
• اختبار تعطيل SSLv3

POODLE (Padding Oracle On Downgraded Legacy Encryption) هي ثغرة تم العثور عليها في 14 أكتوبر 2014 ، والتي تسمح للمهاجم بقراءة أي معلومات مشفرة باستخدام بروتوكول SSLv3 من خلال تنفيذ هجوم رجل في الوسط. على الرغم من أن العديد من البرامج تستخدم SSLv3 كعامل احتياطي ، فقد وصلت إلى نقطة حيث يجب تعطيلها - حيث يمكن إجبار العديد من العملاء على استخدام SSLv3. يزيد إجبار العميل على SSLv3 من فرصة وقوع هجوم. ستوضح لك هذه المقالة كيفية تعطيل SSLv3 في تطبيقات البرامج المحددة التي يشيع استخدامها اليوم.

تعطيل SSLv3 على Nginx

توجه إلى ملف التكوين حيث يتم تخزين معلومات الخادم الخاص بك. على سبيل المثال ، /etc/nginx/sites-enabled/ssl.example.com.conf(استبدال المسار وفقًا للتكوين الخاص بك). داخل الملف ، ابحث عن ssl_protocols. تأكد من وجود هذا الخط ، ويتطابق مع ما يلي:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

سيؤدي ذلك إلى فرض استخدام TLS ، وبالتالي تعطيل SSLv3 (وأي بروتوكولات قديمة أو قديمة). أعد تشغيل خادم Nginx الآن عن طريق تشغيل أحد الأوامر التالية.

CentOS 7 :

systemctl restart nginx 

أوبونتو / ديبيان :

service nginx restart

تعطيل SSLv3 على Apache

لتعطيل SSLv3 ، توجه إلى دليل تكوين الوحدة النمطية لـ Apache. قد يكون الأمر على Ubuntu / Debian /etc/apache2/mod-available. بينما في CentOS ، قد تكون موجودة في /etc/httpd/conf.d. ابحث عن ssl.confالملف. افتح ssl.confوابحث عن SSLProtocolالتوجيه. تأكد من وجود هذا الخط ، ويتطابق مع ما يلي:

SSLProtocol all -SSLv3 -SSLv2

بمجرد الانتهاء ، احفظ ، ثم أعد تشغيل الخادم الخاص بك عن طريق تشغيل أحد الأوامر التالية.

لتشغيل Ubuntu / Debian:

CentOS 7 :

systemctl restart httpd

أوبونتو / ديبيان :

service apache2 restart

تعطيل SSLv3 على Postfix

توجه إلى postfixدليلك. عادة /etc/postfix/. افتح main.cfالملف وابحث عنه smtpd_tls_mandatory_protocols. تأكد من وجود هذا الخط ، ويتطابق مع ما يلي:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

سيؤدي هذا إلى تمكين TLSv1.1 و TLSv1.2 واستخدامهما على خادم Postfix. بمجرد الانتهاء ، احفظ وأعد التشغيل.

CentOS 7 :

 systemctl restart postfix

أوبونتو / ديبيان :

service postfix restart

تعطيل SSLv3 على Dovecot

افتح الملف الموجود في /etc/dovecot/conf.d/10-ssl.conf. ثم ابحث عن السطر الذي يحتوي ssl_protocolsعليه وتأكد من تطابقه مع ما يلي:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

بمجرد الانتهاء ، احفظ وأعد Dovecot.

CentOS 7 :

systemctl restart dovecot

أوبونتو / ديبيان :

service dovecot restart

اختبار تعطيل SSLv3

للتحقق من تعطيل SSLv3 على خادم الويب الخاص بك ، قم بتشغيل الأمر التالي (استبدل المجال و IP وفقًا لذلك):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

سترى مخرجات مشابهة لما يلي:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

إذا كنت تريد تأكيد أن خادمك يستخدم TLS ، فقم بتشغيل نفس الأمر ولكن بدون -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

يجب أن تشاهد معلومات مماثلة معروضة. حدد Protocolالسطر وتأكد من استخدامه TLSv1.X(مع X 1 أو 2 حسب التكوين الخاص بك). إذا رأيت هذا ، فقد قمت بتعطيل SSLv3 بنجاح على خادم الويب الخاص بك.