☰

如何禁用 Apache httpd 的 SSLv2

tag-icon • tag-icon apache-2.2 centos ssl mod-ssl pci-dss
如何禁用 Apache httpd 的 SSLv2

我刚刚测试了我的网站https://www.ssllabs.com/它说 SSLv2 不安全，我应该禁用它以及弱密码套件。

我该如何禁用它？我尝试了以下方法，但没有效果。

  1. /etc/httpd/conf.d/ssl.conf通过 ftp访问。已添加

    SSLProtocol -ALL +SSLv3 +TLSv1
SSLCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:!LOW:!SSLv2:!EXPORT

  2. 通过 putty 连接到服务器并发出service httpd restart命令。

但网站上仍然显示不安全。我该如何修复？我的服务器是 Plesk 10.3.1 CentOS。同一台服务器上有 3-4 个网站。

答案1

将 SSLProtocol 和 SSLCipherSuite 行更改为，

SSLProtocol -ALL +SSLv3 +TLSv1 -SSLv2
SSLHonorCipherOrder On
SSLCipherSuite ECDHE-RSA-AES128-SHA256:AES128-GCM-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH

重新加载你的 apache 以使配置生效。

这SSLHonorCipher订购将按照指定的顺序尝试密码。

以上配置通过了 ssllabs.com 的检查，除了 TLS 版本。我的 CentOS 6 仅支持 TLS 1.0，因为 OpenSSL 1.0.0。OpenSSL 1.0.1 支持 TLS 1.1 和 1.2。

你的 apache 前面有任何负载均衡器或者代理吗？

答案2

您可能需要确保 Apache 配置中的任何地方没有其他SSLProtocol或SSLCiperSuite指令覆盖您刚刚添加的指令。

如果找不到，请尝试将这两个添加到 SSL vhost 而不是ssl.conf。这将有助于确保最后应用的是正确的。

答案3

对我有用的一个

SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !EDH"

尝试一下这个。

答案4

要在 Centos6.x 中禁用 SSL，只需运行以下命令：

yum 删除 mod_ssl

然后

服务 httpd 重新加载

要再次启用 SSL，请安装“mod_ssl”包，例如：

yum 安装 mod_ssl

然后

服务 httpd 重新加载

相关内容