1

だから、私はJBoss 5.1.0 GAを持っていて、ここでSSLv3を無効にする必要がある方法について読みました:

https://access.redhat.com/solutions/1232233

ここで言及されていないのは、SSLv3 へのフォールバックをサポートするすべての暗号を取り除く必要があるということです。そうしたら、このサイトに「緑色のチェックマーク」がつきました

https://www.tinfoilsecurity.com/poodle

これは基本的に、サーバーを保護したことの確認であり、SSLv3 はサポートされなくなりましたが、IE (すべてのバージョンの IE) を使用して Web サイトにアクセスできなくなりました。server.xml 構成の暗号リストには 4 つの暗号しかなかったので、このリストに追加する暗号をさらに見つけて、IE を機能させることを目指しました。50 を超える暗号を追加しましたが、IE はまだ Web サイトをロードしません。これまでに使用したすべての暗号のリストを次に示します (ここからリストを取得しました ( https://www.openssl.org/docs/apps/ciphers.html ):

TLS_DH_DSS_WITH_CAMELLIA_128_CBC_SHA, TLS_DH_DSS_WITH_CAMELLIA_256_CBC_SHA, TLS_DH_RSA_WITH_CAMELLIA_128_CBC_SHA, TLS_DH_RSA_WITH_CAMELLIA_256_CBC_SHA, TLS_DHE_DSS_WITH_CAMELLIA_128_CBC_SHA, TLS_DHE_DSS_WITH_CAMELLIA_256_CBC_SHA, TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA, TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA, TLS_DH_DSS_WITH_SEED_CBC_SHA, TLS_DH_RSA_WITH_SEED_CBC_SHA, TLS_DHE_DSS_WITH_SEED_CBC_SHA, TLS_DHE_RSA_WITH_SEED_CBC_SHA, TLS_RSA_WITH_NULL_MD5, TLS_RSA_WITH_NULL_SHA, TLS_RSA_EXPORT_WITH_RC4_40_MD5, TLS_RSA_WITH_RC4_128_MD5, TLS_RSA_WITH_RC4_128_SHA, TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5, TLS_RSA_WITH_IDEA_CBC_SHA, TLS_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_RSA_WITH_DES_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DH_DSS_EXPORT_WITH_DES40_CBC_SHA, TLS_DH_DSS_WITH_DES_CBC_SHA,TLS_DH_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DH_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_DH_RSA_WITH_DES_CBC_SHA, TLS_DH_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_DSS_WITH_DES_CBC_SHA, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_RSA_WITH_DES_CBC_SHA, TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DH_DSS_WITH_AES_128_CBC_SHA, TLS_DH_DSS_WITH_AES_256_CBC_SHA, TLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHATLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_DSS_WITH_DES_CBC_SHA, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_RSA_WITH_DES_CBC_SHA, TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DH_DSS_WITH_AES_128_CBC_SHA, TLS_DH_DSS_WITH_AES_256_CBC_SHA, TLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHATLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_DSS_WITH_DES_CBC_SHA, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA, TLS_DHE_RSA_WITH_DES_CBC_SHA, TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_DH_DSS_WITH_AES_128_CBC_SHA, TLS_DH_DSS_WITH_AES_256_CBC_SHA, TLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHATLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHATLS_DH_RSA_WITH_AES_128_CBC_SHA, TLS_DH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_KRB5_WITH_RC4_128_MD5, TLS_KRB5_WITH_RC4_128_SHA

これらの暗号はいずれも IE では機能しません。つまり、IE でサーバーにアクセスすると、「このページを表示できません」というメッセージが表示されます。

誰かがこれで私を助けることができますか? サーバーで SSLv3 を開かず、IE でも動作する、使用できる暗号はありますか?

更新: RedHat によって提案されたソリューションを実装する場合 (つまり、sslProtocols を「TLSv1、TLSv1.1、TLSv1.2」に変更する):

  1. JBoss を起動すると、「TLSv1、TLSv1.1、TLSv1.2 SSLContext が利用できません」というエラーが表示されます。これは、この文字列が無効であることを意味し、これらのプロトコルの 1 つだけを使用する必要があります。わかりました。最も安全な「TLS1.2」のいずれかを使用します。
  2. もう 1 つの問題は、RedHat ソリューションでは、暗号について何も言及されていないことです。「ciphers」要素はもう必要ないという印象を受けていたので、server.xml から削除し、sslProtocols 値を「TLSv1.2」に変更して、サーバーをスキャンしました。それはまだ脆弱です!.
  3. TLSv1.1 と TLSv1 を設定してみました。それは動作しません。sslProtocols 要素は、サーバーが使用しているプロトコルにまったく影響を与えないようです。つまり、ciphers 要素だけが何らかの値を持つことを意味します。
  4. そうですね、私は言いました... TLSv1.2 固有の暗号を見つけてそこに追加し、サーバーをしっかりと保護します。https://www.openssl.org/docs/apps/ciphers.htmlリンクで指定されたリストからすべての TLSv1.2 暗号を追加しました。サーバーをスキャンし、「緑色のチェックマーク」を取得し、すべてOKで安全です...任意のブラウザからサーバーにアクセスしようとしました...「ページを開けません」。Chrome: ERR_SSL_VERSION_OR_CIPHER_MISMATCH Firefox: ssl_error_no_cypher_overlap IE: ページを開けません (理由を教えていただけません) 私は今どうすればいい？
  5. わかりました、 https: //www.openssl.org/docs/apps/ciphers.html リストから暗号を下から追加し始め、SSLv3 のものをスキップします。私はこの（本当に短い）リストにたどり着きました：問題ないようです。 https://www.tinfoilsecurity.com/poodle -> 緑のチェックマーク、すべて良好です! 安全のために、オンライン スキャナーをいくつか試してみましょう... https://www.expeditedssl.com/poodle -> 脆弱ではありません。すごい！ https://www.poodlescan.com/ -> 脆弱！くそっ！
  6. 究極のスキャン: ssllabs.com ... VULNERABLE!

私はここで私の心を失っています...助けてください！

更新 2 :問題が何であるかを把握しようとして 2 日間失われた後... RedHat から提案された修正には、sslProtocol ではなく要素 sslProtocol***s*** が含まれていました (末尾に「s」がないことに注意してください)。私が使用していたもので、公式の JbossWeb ドキュメントhttp://docs.jboss.org/jbossweb/2.1.x/config/http.htmlに記載されています

sslProtocols = "TLSv1,TLSv1.1,TLSv1.2" を追加し、「ciphers」要素を削除しました。すべてが期待どおりに機能します。

4

2 に答える 2

0

問題が何であるかを把握しようとして2日間失われた後...

RedHat から提案された修正には、sslProtocol (末尾に「s」がないことに注意してください) とは対照的に、要素 sslProtocol s が含まれていました。 /jbossweb/2.1.x/config/http.html

ちょうど追加しました

sslProtocols = "TLSv1、TLSv1.1、TLSv1.2"

「暗号」要素を削除すると、すべてが期待どおりに機能するようになりました。

于 2014-10-22T10:23:44.527 に答える
0

RedHat ドキュメントhttps://access.redhat.com/solutions/1232233で説明されているように、POODLE 攻撃を防ぐために sslProtocols を tls 1.0、1.1、および 1.2 に設定するだけで済みます(現在は問題ないようですが、更新されています)。プロパティの値が正しくなかったため、数回）。

実際、ssl3.0 と tls1.0 および tls1.1 暗号は基本的に同じであるため、ssl3.0 暗号を削除すると、事実上 1.2 の新しい暗号 (GMC のもの) のみが残ります。POODLE 攻撃は、ssl3 と CBC 暗号の使用の組み合わせに固有のものであり、問​​題を防ぐには ssl3 を無効にするだけで十分です。

あなたが入れた暗号のリストには、非常に悪い暗号が含まれています（エクスポート、rc2 ...）。

使用できる暗号については、Mozilla サーバー側の SSL 構成の推奨事項を参照してください: https://wiki.mozilla.org/Security/Server_Side_TLS。

サーバーのセキュリティ レベルと、どのブラウザーでサーバーに接続できるかを確認するには、ssllabs テストを使用できます。

PS: 使用している IE のバージョンを教えてください。それは 6 です。デフォルトでは ssl3 のみをサポートするため、論理的です。tls1.0 を有効にすることができます ([インターネット オプション] > [詳細設定]。最後に、サポートされている ssl/tls のリストがあります。tls 1.0 をチェックし、ssl 3.0 のチェックを外して、セキュリティを向上させることができます)。デフォルトで IE 6 にアクセスして POODLE を防止する必要がある場合...申し訳ありませんが、安全な方法はありません (RC4 暗号は ssl3 で動作し、POODLE に対して脆弱ではありませんが、他の理由で安全ではありません)。これは実際には IE6 キラーです。IE6 のデフォルト設定でセキュアな ssl 接続を確立する方法はありません。

于 2014-10-20T15:44:41.323 に答える