Melindungi terhadap POODLE SSL pada stunnel

15

Bagaimana saya bisa mengurangi kerentanan POODLE SSL saat menggunakan stunnel sebagai HTTPS reverse proxy?

ssl openssl stunnel Sergey
sumber

Jawaban:

19

Anda dapat menonaktifkan protokol SSLv3 di stunnel sama sekali.

Dari dokumentasi stunnel:

sslVersion = SSL_VERSION

pilih versi protokol SSL Diizinkan

opsi: semua, SSLv2, SSLv3, TLSv1, TLSv1.1, TLSv1.2

Saya telah menambahkan ini ke file konfigurasi:

sslVersion = TLSv1 TLSv1.1 TLSv1.2

Dan sekarang saya tidak dapat terhubung dengan SSLv3 (menggunakan openssl s_client -connect my.domain.com:443 -ssl3)

CATATAN : Beberapa versi stunnel dan OpenSSL yang lama tidak mendukung TLSv1.2 (dan bahkan TLSv1.1). Dalam hal ini, hapus dari sslVersiondirektif untuk menghindari incorrect version of ssl protocolkesalahan.

Sergey
sumber
Saya mendapatkan kesalahan berikut ketika saya menggunakan sslVersion = dari atas: Mulai stunnel: file /etc/stunnel/stunnel.conf baris 6: Versi protokol SSL salah. Ini dengan 4,29. Adakah yang bisa mengkonfirmasi bahwa mereka tidak mendapatkan kesalahan ini?
Ross
Beberapa versi stunnel yang lama tidak mendukung TLSv1.2 atau TLSv1.1. Coba hapus itu, tinggalkan hanya TLSv1. Mengonfirmasi ini berfungsi pada instalasi yang lebih lama.
Sergey
10

jika Anda lebih suka menggunakan stunnel lama (seperti 4.53 di Debian Stable Anda), Anda dapat menonaktifkan SSLv2 dan SSLv3 dengan:

sslVersion = all
options = NO_SSLv2
options = NO_SSLv3

dari pada

sslVersion = TLSv1

yang akan menonaktifkan TLSv1.1 dan TLSv1.2 juga.

Matija Nalis
sumber
1
Ini berfungsi untuk saya dengan stunnel 4.53 (Debian) dan OpenSSL modern (1.0.1e + tambalan keamanan yang disediakan Debian). Saya dapat terhubung dengannya menggunakan TLSv1.2. Yay!
Christopher Schultz
2

Karena saya tidak bisa berkomentar, saya akan "menjawab" (maaf).

Lagi pula, saya menjalankan stunnel 5.01 dan saya juga mendapatkan kesalahan "versi SSL yang salah" setelah melakukan perubahan ke sslVersion:

[!] Server is down
[.] Reading configuration from file stunnel.conf
[!] Line 4: "sslVersion = TLSv1 TLSv1.1 TLSv1.2": Incorrect version of SSL protocol

Diperbaiki (untuk saya). Harus meng-upgrade stunnel ke v5.06 (rilis terbaru saat ini). File conf persis sama jadi saya kira ada beberapa Mojo terjadi antara v5.01 dan v5.06 yang melampaui manusia biasa untuk mengerti.

Kebutuhan Lokal
sumber