禁用 Apache 2.2 的 RC4 密码

Question

我目前在 Centos 6.7 机器上运行 Apache 2.2。我需要在 openSSL 下禁用 RC4 密码的使用。这是我当前的 SSL 配置：

SSL Protocol support:
# List the enable protocol levels with which clients will be able to
# connect.  Disable SSLv2 access by default:
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

#   SSL Cipher Suite:
# List the ciphers that the client is permitted to negotiate.
# See the mod_ssl documentation for a complete list.
SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM:+LOW

我发现很多网站都建议同时更改一堆允许的密码，但我不确定这是否会破坏其他东西。

Answer 1

配置 TLS 时您应该遵循更好的方法。

遵循Mozilla 的推荐配置，安全的 TLS 配置不仅仅是禁用 RC4。

https://wiki.mozilla.org/Security/Server_Side_TLS

但由于您要求根据您的配置禁用 RC4，这里是：

SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:!RC4:+HIGH:+MEDIUM:+LOW