如何修复SSL3.0 Poodle漏洞

本周二谷歌披露了一个存在于SSL 3.0 版本当中的安全漏洞。详细信息请访问： https://www.openssl.org/~bodo/ssl-poodle.pdf

什么是SSL3.0 Poodle漏洞?

SSL协议由美国 NetScape公司1996年发布，已经存在15年之久，目前绝大多数浏览器都支持该版本。通常用户的浏览器都使用新版本的安全协议与服务器进行连接，为了保持兼容性，当浏览器安全协议连接失败的时候，就会转而尝试老版本的安全协议进行连接，其中就包括SSL 3.0。

Poodle攻击的原理，就是黑客故意制造安全协议连接失败的情况，触发浏览器的降级使用SSL 3.0，然后使用特殊的手段，从SSL 3.0 覆盖的安全连接下提取到一定字节长度的隐私信息。

如何防范SSL3.0-Poodle漏洞?

建议您手动关闭客户端SSLv3支持;或者关闭服务器SSLv3支持;或者两者全部关闭，即可有效防范Poodle漏洞对您造成的影响。

关闭服务器SSLv3支持：

Nginx：

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_prefer_server_ciphers on;

ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256

SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:DHE

RSA-AES128-SHA:RC4-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!DSS:!PKS;

ssl_session_timeout 5m;

ssl_session_cache builtin:1000 shared:SSL:10m;

Apache:

SSLProtocol all -SSLv2 -SSLv3

SSLHonorCipherOrder on

SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256

SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:DHE

RSA-AES128-SHA:RC4-SHA:!aNULL:!MD5:!DSS

关闭客户端SSLv3支持：

谷歌已表示chorme浏览器已经通过技术手段屏蔽浏览器自动降级至SSL3.0链接。手动关闭掉 SSL 3.0 支持的方法。

Windows 用户：

1)完全关闭 Chrome 浏览器

2)复制一个平时打开 Chrome 浏览器的快捷方式

3)在新的快捷方式上右键点击，进入属性

4)在「目标」后面的空格中字段的末尾输入以下命令 –ssl-version-min=tls1

Mac OS X 用户：

1)完全关闭 Chrome 浏览器

2)找到本机自带的终端(Terminal)

3)输入以下命令：/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome –ssl-version-min=tls1

Linux 用户：

1)完全关闭 Chrome 浏览器

2)在终端中输入以下命令：google-chrome—ssl-version-min=tls1

Firefox 浏览器用户可以进入关于:设置，方法是在地址栏输入 about:config，然后将 security.tls.version.min 调至 1。

设置方法引用自http://www.wosign.com/news/SSLv3-Poodle.htm