SSLv3 को अक्षम करना

• Nginx पर SSLv3 को अक्षम करना
• अपाचे पर एसएसएल 3 को निष्क्रिय करना
• पोस्टफ़िक्स पर SSLv3 को अक्षम करना
• Dovecot पर SSLv3 को अक्षम करना
• SSLv3 का परीक्षण अक्षम है

POODLE (पेडिंग ओरेकल ऑन डाउनग्रेडेड लिगेसी एन्क्रिप्शन) एक भेद्यता है जो 14 अक्टूबर 2014 को मिली थी, जो एक हमलावर को एक मानव-मध्य हमले का प्रदर्शन करके SSLv3 प्रोटोकॉल का उपयोग करके किसी भी एन्क्रिप्टेड जानकारी को पढ़ने की अनुमति देता है। हालाँकि कई प्रोग्राम SSLv3 का उपयोग एक कमबैक के रूप में करते हैं, यह उस बिंदु पर आ गया है जहाँ इसे अक्षम किया जाना चाहिए - क्योंकि कई ग्राहकों को SSLv3 का उपयोग करने के लिए मजबूर किया जा सकता है। SSLv3 में एक ग्राहक को मजबूर करने से हमले होने की संभावना बढ़ जाती है। यह लेख आपको दिखाएगा कि आज के आमतौर पर उपयोग किए जाने वाले चुनिंदा सॉफ़्टवेयर अनुप्रयोगों में SSLv3 को कैसे अक्षम किया जाए।

Nginx पर SSLv3 को अक्षम करना

कॉन्फ़िगरेशन फ़ाइल पर जाएं जहां आपकी सर्वर जानकारी संग्रहीत है। उदाहरण के लिए, /etc/nginx/sites-enabled/ssl.example.com.conf(आपके कॉन्फ़िगरेशन के अनुसार पथ को बदलना)। फ़ाइल के भीतर, देखें ssl_protocols। सुनिश्चित करें कि यह रेखा मौजूद है, और निम्नलिखित से मेल खाती है:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

यह TLS के उपयोग को लागू करेगा, इस प्रकार SSLv3 (और किसी भी पुराने या अप्रचलित प्रोटोकॉल) को अक्षम करना। अब निम्नलिखित में से एक कमांड चलाकर अपने Nginx सर्वर को पुनः आरंभ करें।

CentOS 7 :

systemctl restart nginx 

उबंटू / डेबियन :

service nginx restart

अपाचे पर एसएसएल 3 को निष्क्रिय करना

SSLv3 को अक्षम करने के लिए, अपाचे के लिए अपने मॉड्यूल कॉन्फ़िगरेशन निर्देशिका में जाएं। उबंटू / डेबियन पर यह हो सकता है /etc/apache2/mod-available। जबकि CentOS पर, यह स्थित हो सकता है /etc/httpd/conf.d। ssl.confफ़ाइल के लिए देखो । निर्देश को खोलें ssl.confऔर खोजें SSLProtocol। सुनिश्चित करें कि यह रेखा मौजूद है, और निम्नलिखित से मेल खाती है:

SSLProtocol all -SSLv3 -SSLv2

एक बार समाप्त होने के बाद, सहेजें, फिर अपने सर्वर को निम्न में से एक कमांड चलाकर पुनः आरंभ करें।

Ubuntu / डेबियन रन के लिए:

CentOS 7 :

systemctl restart httpd

उबंटू / डेबियन :

service apache2 restart

पोस्टफ़िक्स पर SSLv3 को अक्षम करना

अपनी postfixनिर्देशिका के लिए सिर । यह आमतौर पर है /etc/postfix/। main.cfफ़ाइल खोलें और देखें smtpd_tls_mandatory_protocols। सुनिश्चित करें कि यह रेखा मौजूद है, और निम्नलिखित से मेल खाती है:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

यह TLSv1.1 और TLSv1.2 को आपके पोस्टफिक्स सर्वर पर सक्षम और उपयोग करने के लिए मजबूर करेगा। एक बार हो जाने के बाद सेव और रिस्टार्ट करें।

CentOS 7 :

 systemctl restart postfix

उबंटू / डेबियन :

service postfix restart

Dovecot पर SSLv3 को अक्षम करना

पर स्थित फ़ाइल खोलें /etc/dovecot/conf.d/10-ssl.conf। फिर, उस पंक्ति को ढूंढें जिसमें यह शामिल है ssl_protocolsऔर सुनिश्चित करें कि यह निम्नलिखित से मेल खाती है:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

एक बार हो जाने के बाद, Dovecot को सेव और रिस्टार्ट करें।

CentOS 7 :

systemctl restart dovecot

उबंटू / डेबियन :

service dovecot restart

SSLv3 का परीक्षण अक्षम है

यह सत्यापित करने के लिए कि SSLv3 आपके वेब सर्वर पर अक्षम है, निम्न कमांड चलाएँ (डोमेन और आईपी को तदनुसार बदलें):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

आपको निम्न के समान आउटपुट दिखाई देगा:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

यदि आप यह पुष्टि करना चाहते हैं कि आपका सर्वर TLS का उपयोग कर रहा है, तो एक ही कमांड चलाएं, लेकिन इसके बिना -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

आपको प्रदर्शित समान जानकारी देखनी चाहिए। Protocolलाइन का पता लगाएं और पुष्टि करें कि यह उपयोग कर रहा है TLSv1.X(एक्स आपके कॉन्फ़िगरेशन के आधार पर 1 या 2 होने के साथ)। यदि आप इसे देखते हैं, तो आपने अपने वेब सर्वर पर SSLv3 को सफलतापूर्वक अक्षम कर दिया है।