禁用SSLv3

• 在Nginx上禁用SSLv3
• 在Apache上禁用SSLv3
• 在Postfix上禁用SSLv3
• 在Dovecot上禁用SSLv3
• 测试SSLv3已禁用

POODLE（在降级的传统加密上填充Oracle）是2014年10月14日发现的一个漏洞，它使攻击者可以通过执行中间人攻击来使用SSLv3协议读取任何加密信息。尽管许多程序使用SSLv3作为后备，但它已经到了应禁用的地步-因为许多客户端可能被迫使用SSLv3。强制客户端进入SSLv3会增加发生攻击的机会。本文将向您展示如何在当今常用的某些软件应用程序中禁用SSLv3。

在Nginx上禁用SSLv3

转到存储服务器信息的配置文件。例如，/etc/nginx/sites-enabled/ssl.example.com.conf（将路径替换为您的配置）。在文件中，查找ssl_protocols。确保此行存在，并且与以下内容匹配：

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

这将强制使用TLS，从而禁用SSLv3（以及任何较旧或过时的协议）。现在，通过运行以下命令之一来重新启动Nginx服务器。

CentOS 7：

systemctl restart nginx 

Ubuntu / Debian：

service nginx restart

在Apache上禁用SSLv3

要禁用SSLv3，请访问Apache的模块配置目录。在Ubuntu / Debian上可能是/etc/apache2/mod-available。在CentOS上，它可能位于中/etc/httpd/conf.d。查找ssl.conf文件。打开ssl.conf并找到SSLProtocol指令。确保此行存在，并且与以下内容匹配：

SSLProtocol all -SSLv3 -SSLv2

完成后，保存，然后通过运行以下命令之一重新启动服务器。

对于Ubuntu / Debian运行：

CentOS 7：

systemctl restart httpd

Ubuntu / Debian：

service apache2 restart

在Postfix上禁用SSLv3

转到您的postfix目录。通常是这样/etc/postfix/。打开main.cf文件并查找smtpd_tls_mandatory_protocols。确保此行存在，并且与以下内容匹配：

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1, TLSv1.2

这将强制在您的Postfix服务器上启用和使用TLSv1.1和TLSv1.2。完成后，保存并重新启动。

CentOS 7：

 systemctl restart postfix

Ubuntu / Debian：

service postfix restart

在Dovecot上禁用SSLv3

打开位于的文件/etc/dovecot/conf.d/10-ssl.conf。然后，找到包含的行，ssl_protocols并确保它与以下内容匹配：

ssl_protocols = !SSLv2 !SSLv3 TLSv1.1 TLSv1.2

完成后，保存并重新启动Dovecot。

CentOS 7：

systemctl restart dovecot

Ubuntu / Debian：

service dovecot restart

测试SSLv3已禁用

要验证Web服务器上是否禁用了SSLv3，请运行以下命令（相应地替换域和IP）：

openssl s_client -servername example.com -connect 0.0.0.0:443 -ssl3

您将看到类似于以下内容的输出：

CONNECTED(00000003)
140060449216160:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1260:SSL alert number 40
140060449216160:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : 0000
    Session-ID: 
    Session-ID-ctx: 
    Master-Key: 
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1414181774
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)

如果要确认服务器正在使用TLS，请运行相同的命令，但不要执行以下操作-ssl3：

 openssl s_client -servername example.com -connect 0.0.0.0:443

您应该看到显示的类似信息。找到该Protocol行并确认它正在使用TLSv1.X（根据您的配置X为1或2）。如果看到此消息，则说明您已成功禁用Web服务器上的SSLv3。