在 stunnel 上防止 POODLE SSL

Question

使用 stunnel 作为 HTTPS 反向代理时，如何缓解 POODLE SSL 漏洞？

Answer 1

您可以完全禁用 stunnel 上的 SSLv3 协议。

来自 stunnel 文档：

sslVersion = SSL_VERSION

选择 SSL 协议的版本 允许

选项：全部、SSLv2、SSLv3、TLSv1、TLSv1.1、TLSv1.2

我已将此添加到配置文件中：

sslVersion = TLSv1 TLSv1.1 TLSv1.2

现在我无法连接 SSLv3（使用openssl s_client -connect my.domain.com:443 -ssl3）

注意：一些旧版本的 stunnel 和 OpenSSL 不支持 TLSv1.2（甚至 TLSv1.1）。在这种情况下，将它们从sslVersion指令中删除以避免incorrect version of ssl protocol错误。

Answer 2

如果您更喜欢使用较旧的 stunnel（例如 Debian Stable 中的 4.53），您可以使用以下命令禁用 SSLv2 和 SSLv3：

sslVersion = all
options = NO_SSLv2
options = NO_SSLv3

代替

sslVersion = TLSv1

这也会禁用 TLSv1.1 和 TLSv1.2。