O SSLProtocol ALL -SSLv2 -SSLv3 também desativa esses protocolos para conexões de saída do Apache

Question

Primeiro, eu não sou um administrador do servidor web Apache, eu apoio uma aplicação que um cliente está tentando se conectar via Apache como um proxy reverso e balanceador de carga.

O cliente tem duas versões do nosso aplicativo em execução em dois servidores diferentes. Ambos os servidores são idênticos em termos de versão e atualizações.

Uma versão do software foi corrigida para a vulnerabilidade POODLE e desabilita todas as conexões de entrada SSLv2 e SSLv3, enquanto a outra versão permite essas conexões.

O cliente declara que eles têm SSLProtocol ALL -SSLv2 -SSLv3 em sua configuração do Apache, mas podem se conectar à versão antiga do aplicativo que suporta apenas SSLv2 e SSLv3, mas não pode se conectar à versão mais recente, pois o Apache retorna um erro 404. erro.

Dado que o cliente definiu os atributos SSLProtocol ALL -SSLv2 -SSLv3, alguém pode confirmar se esses atributos desativam apenas esses protocolos para conexões de entrada e o Apache ainda usaria esses protocolos para conexões de saída?

    

Answer 1

Minha reação instintiva é que as configurações do servidor como SSLProtocol são o que o Apache permite que os clientes negociem, mas o que o Apache e os aplicativos da Web usarão quando forem o cliente, ou seja, ao se conectar a outro servidor; isso depende das configurações específicas do cliente para a biblioteca que é usada, ou o método ou a estrutura usada pelo aplicativo da web.

Por exemplo, o uso da diretiva SSlProxyCyperSuite para a funcionalidade de proxy (reversa) do Apache ou um contexto específico do PHP: Opções de contexto SSL