Desativando o SSLv3

• Desativando o SSLv3 no Nginx
• Desativando o SSLv3 no Apache
• Desativando o SSLv3 no Postfix
• Desativando o SSLv3 no Dovecot
• Testando se o SSLv3 está Desativado

POODLE (preenchimento do Oracle na criptografia herdada rebaixada) é uma vulnerabilidade encontrada em 14 de outubro de 2014, que permite que um invasor leia qualquer informação criptografada usando o protocolo SSLv3 executando um ataque man-in-the-middle. Embora muitos programas usem o SSLv3 como substituto, chegou ao ponto em que deve ser desativado - pois muitos clientes podem ser forçados a usar o SSLv3. Forçar um cliente a SSLv3 aumenta a chance de ocorrer um ataque. Este artigo mostrará como desativar o SSLv3 em alguns aplicativos de software usados ​​hoje em dia.

Desativando o SSLv3 no Nginx

Vá para o arquivo de configuração onde as informações do servidor estão armazenadas. Por exemplo, /etc/nginx/sites-enabled/ssl.example.com.conf(substituindo o caminho de acordo com sua configuração). Dentro do arquivo, procure ssl_protocols. Verifique se essa linha existe e corresponde ao seguinte:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Isso reforçará o uso do TLS, desativando o SSLv3 (e quaisquer protocolos mais antigos ou obsoletos). Agora reinicie o servidor Nginx executando um dos seguintes comandos.

CentOS 7 :

systemctl restart nginx 

Ubuntu / Debian :

service nginx restart

Desativando o SSLv3 no Apache

Para desativar o SSLv3, vá para o diretório de configuração do módulo para Apache. No Ubuntu / Debian pode ser /etc/apache2/mod-available. Enquanto no CentOS, ele pode estar localizado na /etc/httpd/conf.d. Procure o ssl.confarquivo. Abra ssl.confe encontre a SSLProtocoldiretiva. Verifique se essa linha existe e corresponde ao seguinte:

SSLProtocol all -SSLv3 -SSLv2

Depois de concluído, salve e reinicie o servidor executando um dos seguintes comandos.

Para o Ubuntu / Debian, execute:

CentOS 7 :

systemctl restart httpd

Ubuntu / Debian :

service apache2 restart

Desativando o SSLv3 no Postfix

Vá para o seu postfixdiretório. É tipicamente /etc/postfix/. Abra o main.cfarquivo e procure smtpd_tls_mandatory_protocols. Verifique se essa linha existe e corresponde ao seguinte:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Isso forçará o TLSv1.1 e o TLSv1.2 a serem ativados e usados ​​no servidor Postfix. Uma vez feito, salve e reinicie.

CentOS 7 :

 systemctl restart postfix

Ubuntu / Debian :

service postfix restart

Desativando o SSLv3 no Dovecot

Abra o arquivo localizado em /etc/dovecot/conf.d/10-ssl.conf. Em seguida, encontre a linha que contém ssl_protocolse verifique se ela corresponde ao seguinte:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

Uma vez feito, salve e reinicie o Dovecot.

CentOS 7 :

systemctl restart dovecot

Ubuntu / Debian :

service dovecot restart

Testando se o SSLv3 está Desativado

Para verificar se o SSLv3 está desativado no servidor da Web, execute o seguinte comando (substitua o domínio e o IP adequadamente):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Você verá uma saída semelhante à seguinte:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Se você deseja confirmar que seu servidor está usando TLS, execute o mesmo comando, mas sem -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Você deve ver informações semelhantes exibidas. Localize a Protocollinha e confirme se está usando TLSv1.X(com X sendo 1 ou 2, dependendo da sua configuração). Se você vir isso, desabilitou o SSLv3 com êxito em seu servidor da web.