Отключите SSLv3 в Apache2 при чистой установке Ubuntu 14.04.1 Server

У меня установлена ​​новая версия сервера Ubuntu 14.04.1 У меня есть apache2 с включенным SSL. Я хочу отключить SSLv3

(Я знаю, что это популярный вопрос, но я перебрал все остальные ответы на нескольких сайтах и ​​считаю, что выполнил все предложенные шаги.)

Когда я использую команду:

nmap --script ssl-enum-ciphers -p 443 MYDOMAIN.com

Я вижу два набора шифров. Один SSLv3 и один TLSV1.0

У меня включен модуль SSL, и его файл конфигурации находится в /etc/apache2/mods-enabled/ssl.conf

Я изменил это, изменив линию

SSLProtocol all

в

SSLProtocol All -SSLv2 -SSLv3

Из всей документации и веб-учебников это должно отключить SSLv3.

Я перезагружаю apache командой

sudo service apache2 restart

но нет изменений. SSLv3 все еще в списке.

Я попытался остановить сервер и снова запустить команду, чтобы убедиться, что я случайно не проверю не тот сервер. Как и ожидалось, результат меняется.

Может кто-нибудь подсказать, какую ошибку я совершаю.

Роберт

Моя точная версия Ubuntu:

root@xxxx:/etc/apache2/mods-enabled# lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 14.04.1 LTS
Release:    14.04
Codename:   trusty

Моя точная версия apache2:

root@xxxx:~# apache2 -v
Server version: Apache/2.4.7 (Ubuntu)
Server built:   Jul 22 2014 14:36:38

Моя точная версия openssl:

root@xxxx:~# openssl version
OpenSSL 1.0.1f 6 Jan 2014

Рекомендации:

http://httpd.apache.org/docs/current/mod/mod_ssl.html#sslprotocol

3 ответа

Решение

Я обнаружил, что у меня были другие файлы конфигурации, которые переопределяли опцию.

Можно было найти файлы, запустив:

cd /etc/apache2
grep -r "SSLProto" .

SSLv2 больше не поддерживается.

Следовательно

SSLProtocol All -SSLv2 -SSLv3

не будет работать

SSLProtocol All -SSLv3

будут

В вашем конфигурационном файле apache используйте следующие настройки:

SSLProtocol ALL -SSLv2 -SSLv3
SSLHonorCipherOrder On
SSLCipherSuite ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS

затем перезапустите Apache и проверьте свой сайт на

https://www.ssllabs.com/ssltest/analyze.html?d=www.yourfancysite.com

Это дало мне оценку A (по состоянию на июль 2017 года), в то время как с моей предыдущей настройкой у меня был только F:)

Кредиты для:

https://hynek.me/articles/hardening-your-web-servers-ssl-ciphers/

Другие вопросы по тегам