Desativando o SSLv3

Question

Sou relativamente novo / nervoso em relação a ajustes no servidor. Eu fui encarregado de desativar o SSLv3 em um site de clientes. Eles usam o Amazon EC2 para sua hospedagem.

Consegui localizar onde preciso fazer as alterações.

no arquivo

/etc/apache2/mods-available/ssl.conf

temos o seguinte

#   The protocols to enable.
#   Available values: all, SSLv3, TLSv1, TLSv1.1, TLSv1.2
#   SSL v2  is no longer supported
SSLProtocol all

Muitos dos guias online dizem para mudar para

SSLProtocol all -SSLv2 -SSLv3

Mas nos comentários no servidor, diz que o SSL v2 não é mais suportado.

Quais são os problemas em mover isso para uma das versões TLS, para que o SSLv2 seja desativado?

Obrigado antecipadamente

    

Answer 1

Sem problemas, a menos que você tenha alguns clientes antigos realmente conversando com o seu servidor. Se este for o caso, são os clientes que precisam ser atualizados.

O SSLv2 foi descontinuado há muito tempo e agora passaram vários anos desde que o SSLv3 também foi descontinuado.

Você provavelmente pode usar o -TLSv1 , deixando apenas TLSv1.1 e v1.2

Você também deve restringir as criptografias SSL usadas pelo seu servidor.

EDIT: Existe um excelente ponto de partida para uma configuração segura do servidor SSL aqui: link