Stunnel पर POODLE SSL से बचाव

15

HTTPS रिवर्स प्रॉक्सी के रूप में stunnel का उपयोग करते समय मैं POODLE SSL भेद्यता को कैसे कम कर सकता हूं?

ssl openssl stunnel

— सेर्गेई
स्रोत

19

आप SSLv3 प्रोटोकॉल को पूरी तरह से stunnel पर अक्षम कर सकते हैं।

स्टनलाइन प्रलेखन से:

sslVersion = SSL_VERSION

SSL प्रोटोकॉल का चुनिंदा संस्करण

विकल्प: सभी, SSLv2, SSLv3, TLSv1, TLSv1.1, TLSv1.2

मैंने इसे कॉन्फ़िग फ़ाइल में जोड़ा है:

sslVersion = TLSv1 TLSv1.1 TLSv1.2

और अब मैं SSLv3 के साथ कनेक्ट नहीं कर पा रहा हूँ (उपयोग करके openssl s_client -connect my.domain.com:443 -ssl3)

नोट : Stunnel और OpenSSL के कुछ पुराने संस्करण TLSv1.2 (और यहां तक कि TLSv1.1) का समर्थन नहीं करते हैं। इस स्थिति में, त्रुटि sslVersionसे बचने के लिए उन्हें निर्देश से हटा दें incorrect version of ssl protocol।

— सेर्गेई
स्रोत

जब मैं sslVersion = का उपयोग करता हूं, तो मुझे निम्न त्रुटि मिलती है: प्रारंभ stunnel: फ़ाइल /etc/stunnel/stunnel.conf पंक्ति 6: SSL प्रोटोकॉल का गलत संस्करण। यह 4.29 के साथ है। क्या कोई और पुष्टि कर सकता है कि उन्हें यह त्रुटि नहीं मिली है?

— रोस

Stunnel के कुछ पुराने संस्करण TLSv1.2 या TLSv1.1 का समर्थन नहीं करते हैं। सिर्फ TLSv1 छोड़कर उन को हटाने का प्रयास करें। एक पुराने इंस्टॉलेशन पर काम करने की पुष्टि की।

— सेर्गेई

10

यदि आप पुराने स्टनलाइन (जैसे कि अपने डेबियन स्टेबल में 4.53) के साथ रहना पसंद करते हैं, तो आप SSLv2 और SSLv3 को इसके साथ अक्षम कर सकते हैं:

sslVersion = all
options = NO_SSLv2
options = NO_SSLv3

के बजाय

sslVersion = TLSv1

जो TLSv1.1 और TLSv1.2 को भी अक्षम करेगा।

— मतिजा नलिस
स्रोत

1

यह मेरे लिए स्टनलाइन 4.53 (डेबियन) और एक आधुनिक ओपनएसएसएल (1.0.1e + सुरक्षा पैच जो डेबियन प्रदान करता है) के साथ काम करता है। मैं TLSv1.2 का उपयोग करके इसे कनेक्ट कर सकता हूं। वाह!

— क्रिस्टोफर शुल्त्स

2

चूंकि मैं टिप्पणी नहीं कर सकता, इसलिए मैं "जवाब" (खेद) दूंगा।

वैसे भी, मैं 5.01 रन कर रहा हूं और मुझे ssVV में बदलाव करने के बाद "SSL का गलत संस्करण" त्रुटि भी मिल रही है:

[!] Server is down
[.] Reading configuration from file stunnel.conf
[!] Line 4: "sslVersion = TLSv1 TLSv1.1 TLSv1.2": Incorrect version of SSL protocol

निश्चित (मेरे लिए)। वी 5.06 (आज के रूप में सबसे वर्तमान रिलीज) के लिए स्टनलाइन को अपग्रेड करना था। Conf फ़ाइल बिल्कुल वैसी ही है इसलिए मुझे लगता है कि v5.01 और v5.06 के बीच कुछ मोजो हो रहा है जो समझने के लिए एक मात्र नश्वर से परे है।

— स्थानीय आवश्यकताओं
स्रोत