![如何在 Apache httpd 2.2.15 上禁用 SSLCompression?(防御 CRIME/BEAST)](https://linux22.com/image/601997/%E5%A6%82%E4%BD%95%E5%9C%A8%20Apache%20httpd%202.2.15%20%E4%B8%8A%E7%A6%81%E7%94%A8%20SSLCompression%EF%BC%9F%EF%BC%88%E9%98%B2%E5%BE%A1%20CRIME%2FBEAST%EF%BC%89.png)
我读到过犯罪针对 TLS 压缩的攻击(CVE-2012-4929CRIME 是针对 SSL 和 TLS 的 BEAST 攻击的后继者),我希望通过以下方式保护我的网络服务器免受此攻击:禁用 SSL 压缩,已添加到 Apache 2.2.22(请参阅错误 53219)。
我正在运行 Scientific Linux 6.3,它附带 httpd-2.2.15。httpd 2.2 上游版本的安全修复应该会移植到此版本。
# rpm -q httpd
httpd-2.2.15-15.sl6.1.x86_64
# httpd -V
Server version: Apache/2.2.15 (Unix)
Server built: Feb 14 2012 09:47:14
Server's Module Magic Number: 20051115:24
Server loaded: APR 1.3.9, APR-Util 1.3.9
Compiled using: APR 1.3.9, APR-Util 1.3.9
我试过SSL压缩关闭在我的配置中,但会导致以下错误消息:
# /etc/init.d/httpd restart
Stopping httpd: [ OK ]
Starting httpd: Syntax error on line 147 of /etc/httpd/httpd.conf:
Invalid command 'SSLCompression', perhaps misspelled or defined by a module not included in the server configuration
[FAILED]
是否可以使用该版本的 Apache Webserver 禁用 SSLCompression?
答案1
2013年3月4日,Red Hat 提供了更新的 OpenSSL 软件包来解决此问题。您可以通过正常的更新渠道接收它们。
原来的答案是:
Red Hat 尚未提供具备此功能的更新软件包,不过有一个解决方法。编辑/etc/sysconfig/httpd
文件并添加以下行:
export OPENSSL_NO_DEFAULT_ZLIB=1
然后重新启动Apache:
service httpd restart
这将导致为 Apache 提供加密功能的 OpenSSL 不提供压缩。