web-dev-qa-db-ja.com

stunnelでのPOODLE SSLからの保護

StunnelをHTTPSリバースプロキシとして使用する場合、どのようにPOODLE SSLの脆弱性を緩和できますか？

sslopensslstunnel
15
Sergey

StunnelでSSLv3プロトコルを完全に無効にすることができます。

Stunnelのドキュメントから：

sslVersion = SSL_VERSION

許可されるSSLプロトコルのバージョンを選択

オプション：すべて、SSLv2、SSLv3、TLSv1、TLSv1.1、TLSv1.2

これを設定ファイルに追加しました：

sslVersion = TLSv1 TLSv1.1 TLSv1.2

そして今、SSLv3に接続できません（openssl s_client -connect my.domain.com:443 -ssl3を使用）

[〜＃〜] note [〜＃〜]：古いバージョンのstunnelとOpenSSLは、TLSv1.2（さらにはTLSv1.1）をサポートしていません。この場合、incorrect version of ssl protocolエラーを回避するために、それらをsslVersionディレクティブから削除してください。

19
Sergey

古いstunnel（Debian Stableの4.53など）を使い続ける場合は、SSLv2とSSLv3を次のように無効にできます。

sslVersion = all
options = NO_SSLv2
options = NO_SSLv3

の代わりに

sslVersion = TLSv1

tLSv1.1とTLSv1.2も無効になります。

10
Matija Nalis

コメントできないので「お返事」します（すみません）。

とにかく、私はstunnel 5.01を実行していて、sslVersionに変更を加えた後に「SSLのバージョンが正しくありません」というエラーが表示されます。

[!] Server is down
[.] Reading configuration from file stunnel.conf
[!] Line 4: "sslVersion = TLSv1 TLSv1.1 TLSv1.2": Incorrect version of SSL protocol

修正済み（私にとって）。 stunnelをv5.06（現在の最新リリース）にアップグレードする必要がありました。 confファイルはまったく同じなので、v5.01とv5.06の間で、単なる致命的なものを超えて理解するためのモジョが発生していると思います。

2
Local Needs