为了应对 OpenSSL Poodle 漏洞，我应该禁用 SSLv3 吗？

Question

OpenSSL 刚刚宣布了其内存例程中的另一个新漏洞。您可以在此处阅读所有相关信息：https : //www.openssl.org/news/secadv_20141015.txt

解决方法是禁用 SSLv3。

• 这会完全禁用我们网站上的 HTTPS 吗？
• 哪些客户端仍然依赖 SSLv3，应该关注支持它们吗？

Answer 1

不会，它不会破坏与您网站的 HTTPS 连接；几乎所有浏览器都在使用 TLSv1（以及更新版本，如果您的软件足够新）（Windows XP 上的 IE6 除外）。

在您的配置中验证 TLSv1 是否已启用，但默认情况下几乎在每个服务器端 SSL 配置中都是如此。

Answer 2

是的，您应该禁用 SSLv3。Poodle 之所以有效，是因为如果 TLS 失败，浏览器将尝试使用旧协议，例如 SSLv3。MITM 可以滥用这一点（除非客户端和服务器支持新的 TLS SCSV，只有 Chrome 支持 atm。）。有关贵宾犬攻击细节的非常好的文章，请参阅：https : //security.stackexchange.com/q/70719

SSLv3 在几个方面被破坏，解决这个问题的最好方法是禁用它，因为它在 15 年前被 TLS 取代。如果您在网站上使用 SSLv3，并且您不关心 XP 上的 IE6（XP 上的 IE7 很好），那么您应该可以安全地禁用它。

正在讨论禁用 SSLv3 的可行性，相关问题是：贵宾犬：在服务器上禁用 SSL V3 真的是一种解决方案吗？

在此期间，您可能希望在您的站点上运行测试以查看是否存在任何其他问题：https : //www.ssllabs.com/ssltest/