如何修復 POODLE 漏洞

POODLE漏洞從本質上說，是SSL設計上的缺陷，SSL是先認證再加密的所以說是不安全的。解決辦法就是禁用sslv3協議，不同的web server不盡相同，針對客戶端可以從瀏覽器中設置來禁用。以下主流的服務器的禁用方式：

Nginx服務器

注意：nginx和openssl套件版本過低可能會導致無法啟用新型加密套件和算法，請升級最新版本。

（openssl1.0.1+版本支持TLS1.1和TLS1.2協議）

1.  ssl_protocols TLSv1 TLSv1.1 TLSv1.2; 

2.  ssl_ciphers AESGCM:ALL:!DH:!EXPORT:!RC4:+HIGH:!MEDIUM:!LOW:!aNULL:!eNULL;

apache2.X版本

SSLProtocol  all -SSLv2 -SSLv3

SSLCipherSuite ALL:!DH:!EXPORT:!RC4:+HIGH:!MEDIUM:!LOW:!aNULL:!eNULL

Tomcat服務器

JDK版本過低也會帶來不安全漏洞，請升級JDK為最新版本。升級JDK風險請安按照系統升級風險酌情考慮。

（先備份再配置，低版本的配置后有啟動不了的風險，請升級tomcat和jdk版本，JDK1.7及以上支持TLS1.2協議）

Tomcat 6 (prior to 6.0.38)

<Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"

               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"

     keystoreFile="keystore/domain.jks"  keystorePass="證書密碼"

               clientAuth="false" sslProtocols="TLSv1,TLSv1.1,TLSv1.2"

                ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,

                                TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,

                                TLS_RSA_WITH_AES_128_CBC_SHA256,

                                TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,

                                TLS_RSA_WITH_3DES_EDE_CBC_SHA,

                                TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA" />

Tomcat 7 and later
  < Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"

               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"

               keystoreFile="keystore/SSL.jks"  keystorePass="證書密碼"

               clientAuth="false" sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"

               ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,

                               TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,

                               TLS_RSA_WITH_AES_128_CBC_SHA256,

                               TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,

                               TLS_RSA_WITH_3DES_EDE_CBC_SHA,

                               TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA" />

使用apr的tomcat（windows環境路徑請使用“”）

<Connector port="443" maxHttpHeaderSize="8192"


              maxThreads="150"

               protocol="HTTP/1.1"

               enableLookups="false" disableUploadTimeout="true"

               acceptCount="100" scheme="https" secure="true"

               SSLEnabled="true"

               sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"

               SSLCertificateFile="conf/2_domian.com.crt"

               SSLCertificateKeyFile="conf/3_domian.com.key"

               SSLCertificateChainFile="conf/1_root_bundle.crt" />

IIS服務器：

使用我們的套件工具,按照如下圖進行修復。

回答所涉及的環境：聯想天逸510S、Windows 10。