Deshabilitar SSLv3

• Deshabilitar SSLv3 en Nginx
• Deshabilitar SSLv3 en Apache
• Deshabilitar SSLv3 en Postfix
• Deshabilitar SSLv3 en Dovecot
• Prueba de que SSLv3 está deshabilitado

POODLE (Relleno de Oracle en cifrado heredado degradado) es una vulnerabilidad que se encontró el 14 de octubre de 2014, que permite a un atacante leer cualquier información cifrada utilizando el protocolo SSLv3 mediante un ataque man-in-the-middle. Aunque muchos programas usan SSLv3 como alternativa, ha llegado al punto en que debería deshabilitarse, ya que muchos clientes pueden verse obligados a usar SSLv3. Forzar a un cliente a SSLv3 aumenta las posibilidades de que se produzca un ataque. Este artículo le mostrará cómo deshabilitar SSLv3 en aplicaciones de software seleccionadas que se usan comúnmente en la actualidad.

Deshabilitar SSLv3 en Nginx

Dirígete al archivo de configuración donde se almacena la información de tu servidor. Por ejemplo, /etc/nginx/sites-enabled/ssl.example.com.conf(reemplazando la ruta de acuerdo a su configuración). Dentro del archivo, busque ssl_protocols. Asegúrese de que esta línea exista y que coincida con lo siguiente:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Esto forzará el uso de TLS, deshabilitando SSLv3 (y cualquier protocolo anterior u obsoleto). Ahora reinicie su servidor Nginx ejecutando uno de los siguientes comandos.

CentOS 7 :

systemctl restart nginx 

Ubuntu / Debian :

service nginx restart

Deshabilitar SSLv3 en Apache

Para deshabilitar SSLv3, diríjase al directorio de configuración de su módulo para Apache. En Ubuntu / Debian puede ser /etc/apache2/mod-available. Mientras que en CentOS, puede estar ubicado en /etc/httpd/conf.d. Busca el ssl.confarchivo. Abre ssl.confy encuentra la SSLProtocoldirectiva. Asegúrese de que esta línea exista y que coincida con lo siguiente:

SSLProtocol all -SSLv3 -SSLv2

Una vez terminado, guarde, luego reinicie su servidor ejecutando uno de los siguientes comandos.

Para Ubuntu / Debian ejecute:

CentOS 7 :

systemctl restart httpd

Ubuntu / Debian :

service apache2 restart

Deshabilitar SSLv3 en Postfix

Dirígete a tu postfixdirectorio. Es típicamente /etc/postfix/. Abre el main.cfarchivo y busca smtpd_tls_mandatory_protocols. Asegúrese de que esta línea exista y que coincida con lo siguiente:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Esto obligará a TLSv1.1 y TLSv1.2 a habilitarse y usarse en su servidor Postfix. Una vez hecho esto, guarde y reinicie.

CentOS 7 :

 systemctl restart postfix

Ubuntu / Debian :

service postfix restart

Deshabilitar SSLv3 en Dovecot

Abra el archivo ubicado en /etc/dovecot/conf.d/10-ssl.conf. Luego, encuentre la línea que contiene ssl_protocolsy asegúrese de que coincida con lo siguiente:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

Una vez hecho esto, guarde y reinicie Dovecot.

CentOS 7 :

systemctl restart dovecot

Ubuntu / Debian :

service dovecot restart

Prueba de que SSLv3 está deshabilitado

Para verificar que SSLv3 esté deshabilitado en su servidor web, ejecute el siguiente comando (reemplace el dominio y la IP en consecuencia):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Verá una salida similar a la siguiente:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Si desea confirmar que su servidor está usando TLS, ejecute el mismo comando pero sin -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Debería ver información similar mostrada. Localice la Protocollínea y confirme que está usando TLSv1.X(con X siendo 1 o 2 dependiendo de su configuración). Si ve esto, ha deshabilitado con éxito SSLv3 en su servidor web.