快捷导航
3 9835

防护SSL V3漏洞

Winnie 于 2014-10-15 13:54 发表 [复制链接]
本帖最后由 Regan 于 2016-8-26 16:16 编辑

我们刚刚从 OpenSSL官网了解到SSLv3 -Poodle 攻击,请广大用户注意,详细的信息请访问:  https://www.openssl.org/~bodo/ssl-poodle.pdf
该漏洞贯穿于所有的SSLv3版本中,利用该漏洞,黑客可以通过中间人攻击等类似的方式(只要劫持到的数据加密两端均使用SSL3.0),便可以成功获取到传输数据(例如cookies)。截止到发文前,还没有任何补丁放出来。
沃通(WoSign)建议关闭客户端SSLv3支持;或者关闭服务器SSLv3支持;或者两者全部关闭。

关闭服务器SSLv3支持:

Nginx
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers ECDH:AESGCM:HIGH:!RC4:!DH:!MD5:!aNULL:!eNULL;

Apache:
SSLProtocol  all -SSLv2 -SSLv3
SSLCipherSuite HIGH:!RC4:!DH:!MD5:!aNULL:!eNULL

关闭客户端SSLv3支持:

谷歌已表示chorme浏览器已经通过技术 手段屏蔽浏览器自动降级至SSL3.0链接。手动关闭掉 SSL 3.0 支持的方法。
Windows 用户:
1)完全关闭 Chrome 浏览器
2)复制一个平时打开 Chrome 浏览器的快捷方式
3)在新的快捷方式上右键点击,进入属性
4)在「目标」后面的空格中字段的末尾输入以下命令 --ssl-version-min=tls1
Mac OS X 用户:
1)完全关闭 Chrome 浏览器
2)找到本机自带的终端(Terminal)
3)输入以下命令:/Applications/Google\ Chrome.app/Contents/MacOS/Google\Chrome --ssl-version-min=tls1
Linux 用户:
1)完全关闭 Chrome 浏览器
2)在终端中输入以下命令:google-chrome—ssl-version-min=tls1
Firefox 浏览器用户可以进入 关于:设置,方法是在地址栏输入about:config,然后将 security.tls.version.min 调至 1。



https://buy.wosign.com/
人生短短几十年,想笑就笑,想哭就哭,不要给自己留下什么遗憾。
举报 使用道具
| 回复

共 3 个关于防护SSL V3漏洞的回复 最后回复于 2015-1-26 17:42

Winnie 版主 发表于 2014-10-15 14:26:32 | 显示全部楼层
关闭服务器SSLv3支持只是无奈之举,沃通技术支持帅哥是否能想到更好的解决办法呢
https://buy.wosign.com/
人生短短几十年,想笑就笑,想哭就哭,不要给自己留下什么遗憾。
举报 使用道具
Zoro 中级会员 发表于 2014-10-21 09:04:47 | 显示全部楼层
哇。原来在这里啊。。终于找到方案了
举报 使用道具
Esx2015 高级会员 发表于 2015-1-26 17:42:15 | 显示全部楼层
部署的时候记得关闭SSLv3这个选项了
举报 使用道具
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

发新帖

版块推荐百宝箱

快速回复 返回顶部 返回列表