Desativar o SSLv3 no Apache2 em uma instalação limpa do Ubuntu 14.04.1 Server

Question

Eu tenho uma nova instalação do servidor ubuntu versão 14.04.1 Eu tenho o apache2 com SSL ativado. Desejo desativar o SSLv3

(Estou ciente de que esta é uma pergunta popular, mas eu busquei todas as outras respostas em vários sites e acredito ter seguido todas as etapas sugeridas.)

Quando eu uso o comando:

nmap --script ssl-enum-ciphers -p 443 MYDOMAIN.com

Eu posso ver dois conjuntos de cifras. Um SSLv3 e um TLSV1.0

Eu tenho o módulo SSL ativado e seu arquivo de configuração é /etc/apache2/mods-enabled/ssl.conf

Alterei alterando a linha

SSLProtocol all

para

SSLProtocol All -SSLv2 -SSLv3

De toda a documentação e tutoriais da web, isso deve desativar o SSLv3.

Eu reinicio o apache com o comando

sudo service apache2 restart

mas não há mudança. O SSLv3 ainda está listado.

Eu tentei parar o servidor e reexecutar o comando para garantir que não estou verificando acidentalmente o servidor errado. Como esperado, o resultado muda.

Alguém pode sugerir o erro que estou cometendo?

Robert

Minha versão exata do Ubuntu:

root@xxxx:/etc/apache2/mods-enabled# lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 14.04.1 LTS
Release:    14.04
Codename:   trusty

Minha versão exata do apache2:

root@xxxx:~# apache2 -v
Server version: Apache/2.4.7 (Ubuntu)
Server built:   Jul 22 2014 14:36:38

Minha versão exata do openssl:

root@xxxx:~# openssl version
OpenSSL 1.0.1f 6 Jan 2014

Referências:

http://httpd.apache.org/docs/current/mod/mod_ssl.html#sslprotocol

    

Answer 1

Descobri que eu tinha outros arquivos de configuração que cancelavam a opção.

Foi possível encontrar os arquivos executando:

cd /etc/apache2
grep -r "SSLProto" .

    

Answer 2

SSLv2 não é mais suportado.

Portanto

SSLProtocol All -SSLv2 -SSLv3

não funciona

SSLProtocol All -SSLv3

    

Answer 3

no seu arquivo de configuração do apache, use as configurações abaixo:

SSLProtocol ALL -SSLv2 -SSLv3
SSLHonorCipherOrder On
SSLCipherSuite ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS

reinicie seu apache e verifique seu site em

link

Isso me deu nota A (a partir de julho de 2017), enquanto que no meu cenário anterior eu só tinha F:)

Créditos para:

link