SSLv3ü devre dışı bırakma

• Nginx'te SSLv3'ü devre dışı bırakma
• Apache'de SSLv3'ü devre dışı bırakma
• Postfix'te SSLv3'ü devre dışı bırakma
• Dovecot'ta SSLv3'ü devre dışı bırakma
• SSLv3'ün Devre Dışı Bırakıldığını Test Etme

POODLE (Oracle Eski Sürüm Şifrelemede Dolgu) 14 Ekim 2014'te bulunan ve bir saldırganın ortadaki bir adam saldırısı yoluyla SSLv3 protokolünü kullanarak şifrelenmiş bilgileri okumasına izin veren bir güvenlik açığıdır. Birçok program SSLv3'ü yedek olarak kullanıyor olsa da, devre dışı bırakılması gereken noktaya geldi - çünkü birçok istemci SSLv3'ü kullanmaya zorlanabilir. Bir istemciyi SSLv3'e zorlamak saldırı gerçekleştirme şansını artırır. Bu makale, bugün yaygın olarak kullanılan belirli yazılım uygulamalarında SSLv3'ü nasıl devre dışı bırakacağınızı gösterecektir.

Nginx'te SSLv3'ü devre dışı bırakma

Sunucu bilgilerinizin saklandığı yapılandırma dosyasına gidin. Örneğin, /etc/nginx/sites-enabled/ssl.example.com.conf(yolu yapılandırmanıza göre değiştirme). Dosya içinde, arayın ssl_protocols. Bu satırın mevcut olduğundan ve aşağıdakilerle eşleştiğinden emin olun:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Bu, TLS kullanımını zorlayacak ve böylece SSLv3'ü (ve eski veya eski tüm protokolleri) devre dışı bırakacaktır. Şimdi aşağıdaki komutlardan birini çalıştırarak Nginx sunucunuzu yeniden başlatın.

CentOS 7 :

systemctl restart nginx 

Ubuntu / Debian :

service nginx restart

Apache'de SSLv3'ü devre dışı bırakma

SSLv3'ü devre dışı bırakmak için Apache modül modül dizininize gidin. Ubuntu / Debian'da olabilir /etc/apache2/mod-available. Halbuki CentOS'ta bulunabilir /etc/httpd/conf.d. ssl.confDosyayı arayın . Direktifi açın ssl.confve bulun SSLProtocol. Bu satırın mevcut olduğundan ve aşağıdakilerle eşleştiğinden emin olun:

SSLProtocol all -SSLv3 -SSLv2

İşiniz bittiğinde, kaydedin ve ardından aşağıdaki komutlardan birini çalıştırarak sunucunuzu yeniden başlatın.

Ubuntu / Debian için:

CentOS 7 :

systemctl restart httpd

Ubuntu / Debian :

service apache2 restart

Postfix'te SSLv3'ü devre dışı bırakma

Dizininize gidin postfix. Tipik olarak /etc/postfix/. main.cfDosyayı açın ve arayın smtpd_tls_mandatory_protocols. Bu satırın mevcut olduğundan ve aşağıdakilerle eşleştiğinden emin olun:

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

Bu, TLSv1.1 ve TLSv1.2'yi Postfix sunucunuzda etkinleştirilmeye ve kullanılmaya zorlayacaktır. Tamamlandığında, kaydedin ve yeniden başlatın.

CentOS 7 :

 systemctl restart postfix

Ubuntu / Debian :

service postfix restart

Dovecot'ta SSLv3'ü devre dışı bırakma

Konumunda bulunan dosyayı açın /etc/dovecot/conf.d/10-ssl.conf. Ardından, içeren satırı bulun ssl_protocolsve aşağıdakilerle eşleştiğinden emin olun:

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

Bittiğinde, Dovecot'u kaydedin ve yeniden başlatın.

CentOS 7 :

systemctl restart dovecot

Ubuntu / Debian :

service dovecot restart

SSLv3'ün Devre Dışı Bırakıldığını Test Etme

SSLv3'ün web sunucunuzda devre dışı olduğunu doğrulamak için aşağıdaki komutu çalıştırın (etki alanını ve IP'yi buna göre değiştirin):

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

Aşağıdakine benzer bir çıktı göreceksiniz:

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

Sunucunuzun TLS kullandığını doğrulamak istiyorsanız, aynı komutu çalıştırın, ancak -ssl3:

 openssl s_client -servername example.com -connect 0.0.0.0:443

Benzer bilgilerin görüntülendiğini görmelisiniz. ProtocolÇizgiyi bulun ve kullandığını doğrulayın TLSv1.X(X, yapılandırmanıza bağlı olarak 1 veya 2'dir). Bunu görürseniz, web sunucunuzda SSLv3'ü başarıyla devre dışı bıraktınız.