Olhando para o thc-ssl-dos, ele afeta apenas sites habilitados para SSL com renegociações ativadas.
Eu verifiquei alguns servidores e tenho as seguintes perguntas:
Primeiro; renegociações estão desabilitadas por padrão em minhas instalações do Apache, então em quais cenários eu habilitaria?
Em segundo lugar; Eu tenho uma caixa dev com alguns vhosts nela, como posso ativá-la (apenas para o site padrão) para que eu possa testar a eficácia desse ataque? Estou executando o apache2 no squeeze do Debian.
Obrigado.
Renegociações SSL / TLS foram ativadas por padrão, mas muitas distribuições do Linux lançaram versões corrigidas do Apache que desativaram as renegociações. Você precisa verificar o número da versão e o changelog da sua distribuição do Apache para ter certeza.
Supondo que você esteja usando uma versão com renegociações desativadas, é possível reativá-la configurando SSLInsecureRenegotiation on na configuração do seu apache.
O Apache 2.2.15 ou superior em execução com o OpenSSL 0.9.8l ou inferior desativa completamente a renegociação iniciada pelo cliente, não é possível ativá-la.
Com o OpenSSL 0.9.8m no Apache 2.2.15 ou superior, você tem algumas coisas acontecendo:
SSLInsecureRenegotiation On . A partir da pequena escavação que fiz sobre essa questão, não está claro se o tipo de renegociação em uso (o novo tipo "seguro" ou o antigo padrão) influencia o sucesso do ataque - pode funcionar apenas em um ou outro, ou em ambos.
No que diz respeito aos cenários para os quais precisa ser ativado, acredito que a autenticação do certificado de cliente seja o principal caso de uso.