Apache не отключит SSLv2 и SSLv3

Question

Я пытаюсь включить SSLv2 и SSLv3 на моем Apache 2.2.22 на SUSE.

Я отключил SSLv2 и SSLv3 в моем /etc/apache2/vhost.d/vhost-ssl.conf с помощью этой команды:

SSLProtocol all -SSLv2 -SSLv3

Когда я проверяю свой веб-сайт через ssllabs.com, он по-прежнему говорит, что доступны обе версии SSL.

Что я скучаю?

С уважением

Answer 1

Прежде всего, вы перезапустили службу Apache? Вы можете перезапустить Apache, используя следующую команду

sudo service httpd restart

Если это не сработает, используйте инструмент, подобный grep, для поиска 'SSLProtocol' во всех файлах в каталоге /etc/httpd. Протокол SSL может быть установлен во многих местах, и это может быть выбор настройки из другого места. Попробуйте следующую команду grep, чтобы найти все случаи использования SSLProtocol

sudo grep -rin "SSLProtocol" /etc/httpd/*

Если вы используете Apache 2.2 или старше, синтаксис, который вы использовали, не будет работать, вам нужно будет указать каждый протокол, который вы хотели бы поддерживать. Вам нужно будет изменить его на что-то вроде следующего

Метод, который вы используете, предназначен для новой версии Apache и Openssl. Возможно, что новая версия не установлена ​​в вашей системе, проверьте текущую установленную версию. Поскольку оба SSLv2-3 уязвимы для некоторых атак, было бы лучше использовать только TLS. Поэтому измените ваш файл SSLProtocol следующим образом:

SSLProtocol TLSv1 TLSv1.1 TLSv1.2

Я нашел этот пример на /questions/18289816/zapros-na-udalenie-dublikatov-sql-s-millionami-strok-dlya-povyisheniya-proizvoditelnosti/18289824#18289824