如何为 Apache httpd 禁用 SSLv2

Question

我刚刚在https://www.ssllabs.com/上测试了我的网站，它说 SSLv2 不安全，我应该禁用它以及弱密码套件。

我怎样才能禁用它？我尝试了以下但它不起作用。

1. /etc/httpd/conf.d/ssl.conf通过ftp去了。添加

   SSLProtocol -ALL +SSLv3 +TLSv1
   SSLCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:!LOW:!SSLv2:!EXPORT
   

2. 通过腻子连接到服务器并发出service httpd restart命令。

但它仍然在网站上显示不安全。我该如何解决？我的服务器是 Plesk 10.3.1 CentOS。同一台服务器上有 3-4 个站点。

Answer 1

将 SSLProtocol 和 SSLCipherSuite 行更改为，

SSLProtocol -ALL +SSLv3 +TLSv1 -SSLv2
SSLHonorCipherOrder On
SSLCipherSuite ECDHE-RSA-AES128-SHA256:AES128-GCM-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH

重新加载您的 apache 以使配置生效。

该SSLHonorCipherOrder在将尝试在订单中指定它的密码。

以上配置通过了 ssllabs.com 上的检查，但 TLS 版本除外。由于 OpenSSL 1.0.0，我的 CentOS 6 仅支持 TLS 1.0。OpenSSL 1.0.1 支持 TLS 1.1 和 1.2。

你的apache前面有负载均衡器或代理吗？

Answer 2

您可能需要确保 Apache 配置中的任何位置都没有其他指令SSLProtocol或SSLCiperSuite指令覆盖您刚刚添加的指令。

如果找不到它，请尝试将这两个添加到您的 SSL 虚拟主机而不是ssl.conf. 这将有助于确保最后应用的是正确的。