غیرفعال کردن SSLv3

• غیرفعال کردن SSLv3 در Nginx
• غیرفعال کردن SSLv3 در Apache
• غیرفعال کردن SSLv3 در Postfix
• غیرفعال کردن SSLv3 در Dovecot
• آزمایش اینکه SSLv3 غیرفعال است

POODLE (Padding Oracle On Downgraded Legacy Encryption) آسیب پذیری است که در 14 اکتبر 2014 پیدا شد ، که به مهاجمان اجازه می دهد هرگونه اطلاعات رمزگذاری شده را با استفاده از پروتکل SSLv3 با انجام یک حمله شخصی در وسط بخواند. اگرچه بسیاری از برنامه ها از SSLv3 به عنوان بازگشت استفاده می کنند ، اما به جایی رسیده است که باید غیرفعال شود - زیرا بسیاری از مشتری ها می توانند مجبور به استفاده از SSLv3 شوند. مجبور کردن مشتری در SSLv3 احتمال وقوع حمله را افزایش می دهد. در این مقاله نحوه غیرفعال کردن SSLv3 در برنامه های کاربردی نرم افزاری را انتخاب کنید که امروزه معمولاً مورد استفاده قرار می گیرند.

غیرفعال کردن SSLv3 در Nginx

به پرونده پیکربندی که اطلاعات سرور شما در آن ذخیره شده است بروید. به عنوان مثال ، /etc/nginx/sites-enabled/ssl.example.com.conf(جایگزین کردن مسیر متناسب با پیکربندی خود). در پرونده جستجو کنید ssl_protocols. اطمینان حاصل کنید که این خط وجود دارد ، و مطابق با موارد زیر است:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

این کار استفاده از TLS را اعمال می کند ، بنابراین SSLv3 (و هر پروتکل قدیمی یا منسوخ) غیرفعال می شود. اکنون با اجرای یکی از دستورات زیر سرور Nginx خود را مجدداً راه اندازی کنید.

CentOS 7 :

systemctl restart nginx 

اوبونتو / دبیان :

service nginx restart

غیرفعال کردن SSLv3 در Apache

برای غیرفعال کردن SSLv3 ، به راهنمای فهرست پیکربندی ماژول خود برای Apache بروید. ممکن است در اوبونتو / دبیان باشد /etc/apache2/mod-available. در حالی که در CentOS ، ممکن است در واقع باشد /etc/httpd/conf.d. به دنبال ssl.confپرونده بگردید . بخشنامه را باز ssl.confکنید و پیدا کنید SSLProtocol. اطمینان حاصل کنید که این خط وجود دارد ، و مطابق با موارد زیر است:

SSLProtocol all -SSLv3 -SSLv2

پس از اتمام ، ذخیره کنید ، سپس با اجرای یکی از دستورات زیر سرور خود را مجدداً راه اندازی کنید.

برای اجرای اوبونتو / دبیان:

CentOS 7 :

systemctl restart httpd

اوبونتو / دبیان :

service apache2 restart

غیرفعال کردن SSLv3 در Postfix

به postfixدایرکتوری خود بروید . به طور معمول /etc/postfix/. main.cfپرونده را باز کنید و جستجو کنید smtpd_tls_mandatory_protocols. اطمینان حاصل کنید که این خط وجود دارد ، و مطابق با موارد زیر است:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

این امر TLSv1.1 و TLSv1.2 را مجبور می کند تا روی سرور Postfix شما فعال و استفاده شود. پس از اتمام ، ذخیره و مجدداً راه اندازی کنید.

CentOS 7 :

 systemctl restart postfix

اوبونتو / دبیان :

service postfix restart

غیرفعال کردن SSLv3 در Dovecot

پرونده واقع در را باز کنید /etc/dovecot/conf.d/10-ssl.conf. سپس خطی را که حاوی آن است پیدا کنید ssl_protocolsو مطمئن شوید که با موارد زیر مطابقت دارد:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

پس از اتمام ، Dovecot را ذخیره و مجدداً راه اندازی کنید.

CentOS 7 :

systemctl restart dovecot

اوبونتو / دبیان :

service dovecot restart

آزمایش اینکه SSLv3 غیرفعال است

برای تأیید اینکه SSLv3 در وب سرور شما غیرفعال است ، دستور زیر را اجرا کنید (به همین ترتیب دامنه و IP را جایگزین کنید):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

خروجی مشابه موارد زیر را مشاهده خواهید کرد:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

اگر می خواهید تأیید کنید که سرور شما از TLS استفاده می کند ، همان دستور را اجرا کنید اما بدون آن -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

باید اطلاعات مشابه نمایش داده شود. تعیین محل Protocolخط و تأیید کنید که با استفاده از TLSv1.X(با X بودن 1 یا 2 بسته به پیکربندی کنید). اگر این را مشاهده کردید ، SSLv3 را با موفقیت غیرفعال کرده اید.