☰

Apache：即使更改了 ssl.conf，Poodle 攻击投诉和 RC4 密码投诉仍然存在

tag-icon • tag-icon linux security debian apache-http-server ssl
Apache：即使更改了 ssl.conf，Poodle 攻击投诉和 RC4 密码投诉仍然存在

我检查了我们的域名SSL实验室并发现我们的服务器容易受到 Poodle 攻击。我们有一个 Debian 系统，运行 Apache2 作为两个 Tomcat 实例的负载平衡器和故障转移。我分别对 Apache 和 Tomcat 中的 ssl.conf 和 server.xml 进行了以下更改，重新启动了它们，但 SSL_Labs 仍然抱怨服务器容易受到 Poodle 攻击This server accepts RC4 cipher, but only with older protocol versions.。我做错了什么。

Apache 变化：

在 ssl.conf 中添加了以下内容：

    SSLProtocol All -SSLv2 -SSLv3
SSLHonorCipherOrder on
SSLCipherSuite ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS

Tomcat 更改：在 server.xml 中为 https 连接器添加了以下内容：

sslProtocol="TLS"  sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1"

我是否遗漏了什么？请告知我。

答案1

您没有明确禁用 RC4 套件，因此隐式允许它。您可以在末尾添加 :!RC4，但您允许的密码套件不是最佳实践，因此我建议改用以下行：

SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:ECDHE-RSA-DES-CBC3-SHA:ECDHE-ECDSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

这是根据本文发布时 mozilla 在以下链接中的建议：https://wiki.mozilla.org/Security/Server_Side_TLS#Intermediate_compatibility_.28default.29如果您是在 2016 年之后阅读此文，您可能需要遵循链接的建议而不是本文的建议。

相关内容