如何防護SSL V3.0漏洞

標籤：sslv3.0   漏洞   openssl   認證   

我們剛剛從 OpenSSL官網瞭解到SSLv3 - Poodle 攻擊，請廣大使用者注意，詳細的資訊請訪問： https://www.openssl.org/~bodo/ssl-poodle.pdf 

該漏洞貫穿於所有的SSLv3版本中，利用該漏洞，駭客可以通過中間人攻擊等類似的方式(只要劫持到的資料加密兩端均使用SSL3.0)，便可以成功擷取到傳輸資料(例如cookies)。截止到發文前，還沒有任何補丁放出來。

沃通(WoSign)建議關閉用戶端SSLv3支援；或者關閉伺服器SSLv3支援；或者兩者全部關閉。

 

關閉伺服器SSLv3支援：

 

Nginx：

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_prefer_server_ciphers on;

ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256

SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:DHE

RSA-AES128-SHA:RC4-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!DSS:!PKS;

ssl_session_timeout 5m;

ssl_session_cache builtin:1000 shared:SSL:10m;

 

Apache:

SSLProtocol all -SSLv2 -SSLv3

SSLHonorCipherOrder on

SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256

SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:DHE

RSA-AES128-SHA:RC4-SHA:!aNULL:!MD5:!DSS

 

關閉用戶端SSLv3支援：

 

Google已表示chorme瀏覽器已經通過技術 手段屏蔽瀏覽器自動降級至SSL3.0連結。手動關閉掉 SSL 3.0 支援的方法。

Windows 使用者：

1）完全關閉 Chrome 瀏覽器

2）複製一個平時開啟 Chrome 瀏覽器的捷徑

3）在新的捷徑上右鍵點擊，進入屬性

4）在「目標」後面的空格中欄位的末尾輸入以下命令 --ssl-version-min=tls1

Mac OS X 使用者：

1）完全關閉 Chrome 瀏覽器

2）找到本機內建的終端（Terminal）

3）輸入以下命令：/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --ssl-version-min=tls1

Linux 使用者：

1）完全關閉 Chrome 瀏覽器

2）在終端中輸入以下命令：google-chrome—ssl-version-min=tls1

Firefox 瀏覽器使用者可以進入 關於:設定，方法是在地址欄輸入 about:config，然後將 security.tls.version.min 調至 1。

本文出自 “被啃的老木魚” 部落格，請務必保留此出處http://rezark.blog.51cto.com/9341968/1564460

如何防護SSL V3.0漏洞