Menonaktifkan SSLv3

• Menonaktifkan SSLv3 di Nginx
• Menonaktifkan SSLv3 di Apache
• Menonaktifkan SSLv3 pada Postfix
• Menonaktifkan SSLv3 di Dovecot
• Menguji bahwa SSLv3 Dinonaktifkan

POODLE (Padding Oracle On Downgraded Legacy Encryption) adalah kerentanan yang ditemukan pada 14 Oktober 2014, yang memungkinkan penyerang membaca informasi terenkripsi menggunakan protokol SSLv3 dengan melakukan serangan man-in-the-middle. Meskipun banyak program menggunakan SSLv3 sebagai fallback, ia telah sampai pada titik di mana ia harus dinonaktifkan - karena banyak klien dapat dipaksa menggunakan SSLv3. Memaksa klien ke SSLv3 meningkatkan kemungkinan terjadinya serangan. Artikel ini akan menunjukkan kepada Anda cara menonaktifkan SSLv3 di aplikasi perangkat lunak tertentu yang umum digunakan saat ini.

Menonaktifkan SSLv3 di Nginx

Buka file konfigurasi tempat informasi server Anda disimpan. Misalnya, /etc/nginx/sites-enabled/ssl.example.com.conf(mengganti jalur sesuai dengan konfigurasi Anda). Di dalam file, cari ssl_protocols. Pastikan baris ini ada, dan cocok dengan yang berikut:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Ini akan menegakkan penggunaan TLS, sehingga menonaktifkan SSLv3 (dan protokol yang lebih tua atau usang). Sekarang restart server Nginx Anda dengan menjalankan salah satu dari perintah berikut.

CentOS 7 :

systemctl restart nginx 

Ubuntu / Debian :

service nginx restart

Menonaktifkan SSLv3 di Apache

Untuk menonaktifkan SSLv3, buka direktori konfigurasi modul Anda untuk Apache. Di Ubuntu / Debian mungkin /etc/apache2/mod-available. Sedangkan pada CentOS, ia mungkin berada di /etc/httpd/conf.d. Cari ssl.conffile. Buka ssl.confdan temukan SSLProtocolarahannya. Pastikan baris ini ada, dan cocok dengan yang berikut:

SSLProtocol all -SSLv3 -SSLv2

Setelah selesai, simpan, lalu mulai ulang server Anda dengan menjalankan salah satu dari perintah berikut.

Untuk menjalankan Ubuntu / Debian:

CentOS 7 :

systemctl restart httpd

Ubuntu / Debian :

service apache2 restart

Menonaktifkan SSLv3 pada Postfix

Pergi ke postfixdirektori Anda . Biasanya /etc/postfix/. Buka main.cffile dan cari smtpd_tls_mandatory_protocols. Pastikan baris ini ada, dan cocok dengan yang berikut:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Ini akan memaksa TLSv1.1 dan TLSv1.2 diaktifkan dan digunakan di server Postfix Anda. Setelah selesai, simpan dan mulai kembali.

CentOS 7 :

 systemctl restart postfix

Ubuntu / Debian :

service postfix restart

Menonaktifkan SSLv3 di Dovecot

Buka file yang terletak di /etc/dovecot/conf.d/10-ssl.conf. Kemudian, cari baris yang berisi ssl_protocolsdan pastikan cocok dengan yang berikut ini:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

Setelah selesai, simpan dan mulai ulang Dovecot.

CentOS 7 :

systemctl restart dovecot

Ubuntu / Debian :

service dovecot restart

Menguji bahwa SSLv3 Dinonaktifkan

Untuk memverifikasi bahwa SSLv3 dinonaktifkan di server web Anda, jalankan perintah berikut (ganti domain dan IP yang sesuai):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Anda akan melihat output yang mirip dengan yang berikut:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Jika Anda ingin mengonfirmasi bahwa server Anda menggunakan TLS, jalankan perintah yang sama tetapi tanpa -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Anda akan melihat informasi serupa ditampilkan. Temukan Protocolbaris dan konfirmasi bahwa ia menggunakan TLSv1.X(dengan X menjadi 1 atau 2 tergantung pada konfigurasi Anda). Jika Anda melihat ini, maka Anda telah berhasil menonaktifkan SSLv3 di server web Anda.