SSLv3 отключен на моем Apache 2.4.9 (Win32?)
У меня Apache 2.4.9 работает на Windows Server 2008 R2.
SERVER_SOFTWARE Apache/2.4.9 (Win32) PHP/5.5.12 OpenSSL/1.0.1g
SSL_PROTOCOL TLSv1.2
Registered Stream Socket Transports tcp, udp, ssl, sslv3, sslv2, tls
Мне нужно немедленно отключить SSLv3, чтобы предотвратить Нападения пуделей. Для этого я открыл файл \conf\extra\httpd-ssl.conf
Затем я добавил следующую строку кода к нему
SSLProtocol All -SSLv2 -SSLv3
После сохранения изменений я перезапустил Apache.
Когда вернулся, я посмотрел на вывод phpinfo() но я все еще вижу следующее
SSL_PROTOCOL TLSv1.2
Зарегистрированные потоковые сокет-транспорты tcp, udp, ssl, sslv3, sslv2, tls
Это phpinfo() где я проверяю, отключены ли SSLv3 и SSLv2?
Вот еще несколько методов, которые я сделал, чтобы убедиться, что я делаю это правильно.
Я попытался добавить эту строку вместо другой команды (т.е.
SSLProtocol All -SSLv2 -SSLv3)
SSLHonorCipherOrder On
SSLProtocol -All +TLSv1.2
Я даже пытался найти любой файл, который содержит слово «SSLProtocol» в каталоге Apache24, например, так
C:\Apache24>findstr /s /i /p "SSLProtocol" *.*
это только 2 найденных файла
- HTTPD-ssl.conf
- changes.txt
Как проверить, отключен ли SSLv3 на моем сервере?
Если он еще не отключен, как правильно его отключить?
Решение
SSLProtocol All -SSLv2 -SSLv3 должен был отключить SSL3 в Apache. Вы можете проверить это (и другие настройки) в https://www.ssllabs.com/ssltest/index.html
Другие решения
SSLProtocol All -SSLv2 -SSLv3 следует отключить протокол SSLv3 в вашей установке Apache.Для справки.
Я не был бы уверен в phpinfo() однако, если вы хотите увидеть включенные протоколы на вашем сайте. Просмотреть здесь и введите адрес своего сайта. Нашли разместить здесь . Вы можете использовать пользователя openssl а также проверить отсутствие SSLv3. Используйте команду ниже, чтобы увидеть, какие протоколы SSL включены
openssl s_client -connect {SERVER_IP / DNS_NAME}: 443
Чтобы увидеть другие перспективные инструменты Вы можете Google и попробовать.
Надеюсь, это поможет!