为了响应OpenSSL Poodle漏洞，我应该禁用SSLv3吗？

OpenSSL刚刚宣布了其内存例程中的另一个新漏洞。您可以在这里阅读所有内容：https：//www.openssl.org/news/secadv_20141015.txt

解决方法是禁用SSLv3。

这会完全禁用我们网站上的HTTPS吗？
哪些客户端仍然依赖SSLv3，应该关心支持它们吗？

ssl openssl vulnerabilities

— 奥克森
source

不，否则人们不会建议这样做。当然，除非您允许的唯一协议是SSLv3，否则这种情况并不常见。

— gparent

有了新的修改，这成为该网站的一个完全合法的问题，因此不值得接受。肖恩·马登（Shane Madden）的答案（目前获得5票赞成）表明了这个问题的价值。另一个可能的答案将解释为HTTPS可能使用SSL和/或TLS，两者之间有什么区别。

— Stefan Lasiewski 2014年

为什么这个问题即将成为社区活动？= p

— 问题溢流

考虑到HTTPS和SSL在技术讨论和配置文件中已互换使用多年，许多管理员，包括那些“对所解决问题的了解不多”的管理员，可能会有相同的问题。同样，此问题在编辑后是合理的，应重新打开。

— Stefan Lasiewski 2014年

SSLv3被

— 彻底

Answers:

不，它不会破坏与您网站的HTTPS连接；几乎所有浏览器都已使用TLSv1（和更新版本，如果您的软件是最新的），则几乎所有浏览器都已使用TLSv1（Windows XP上的IE6明显例外）。

在您的配置中验证启用了TLSv1，但默认情况下，几乎所有服务器端SSL配置中都启用了TLSv1。

— 沙恩·马登（Shane Madden）
source

此外，某些较旧的命令行客户端和较旧的设备可能仅支持SSLv3。

— Stefan Lasiewski 2014年

通过模拟TLS协商失败，可以迫使这些浏览器回退到SSLv3。这就是为什么您应该禁用SSLv3服务器端的原因，以及主要的浏览器都在下一次更新中争先禁用SSLv3客户端的原因。如果您完全确定需要支持这些旧设备，则可以采取以下缓解措施：serverfault.com/q/637848/249649

— cypres 2014年

@cypres我认为通过编辑对问题标题进行的更改使您不满意-“否”是对原始标题问题的答复，该标题问题已移至正文，“这将完全禁用我们网站上的HTTPS吗？” 我进行了编辑以使内容更清楚。

— Shane Madden

是的，您应该禁用SSLv3。Poodle之所以有效，是因为如果TLS失败，浏览器将尝试使用较旧的协议，例如SSLv3。MITM可能会滥用它（除非客户端和服务器支持新的TLS SCSV，只有Chrome支持atm。）有关Poodle攻击的详细信息，请参阅：https : //security.stackexchange.com/q/70719

SSLv3有几种破损方式，而解决该问题的最佳方法是禁用它，因为15年前它已被TLS取代。如果您在网站上使用SSLv3，并且不关心XP上的IE6（XP上的IE7很好），则应该安全地禁用它。

正在讨论有关禁用SSLv3的可行性：贵宾犬：在服务器上禁用SSL V3真的是一种解决方案吗？

在使用它时，您可能希望在您的站点上运行测试以查看是否还有其他问题：https : //www.ssllabs.com/ssltest/

— 塞浦路斯
source

您能更具体地说明Shane的答案有何错误吗？谢谢！

— 克里斯·S

@ChrisS，我误解了Shane。以为他说过，如果您启用了TLS，就可以了，不需要禁用SSLv3。编辑后他的回答现在表明，禁用SSLv3不会破坏您的网站，这是正确的。但是，不管启用TLS是否支持，将其保持启用状态都不会修复Poodle。我已经编辑了我的内容，以使其更加清晰。

— cypres 2014年