Não é possível desativar o SSL no courier-imap

Question

Não consigo desativar o SSLv2 \ v3 no correio-imap.

No imapd-ssl config eu tenho o seguinte:

TLS_CIPHER_LIST="ALL:!SSLv2:!SSLv3:!ADH:!NULL:!EXPORT:!DES:!LOW:@STRENGTH"

De acordo com o openssl - SSL está desabilitado por esta entrada

[root@a10-52-79-181 ~]# openssl ciphers -v 'ALL:!SSLv2:!SSLv3:!ADH:!NULL:!EXPORT:!DES:!LOW:@STRENGTH'
ECDHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=ECDH     Au=RSA  Enc=AESGCM(256) Mac=AEAD
... and rest of output is only related to TLS, nothing for SSL

Até agora - parece bom. Mas ...

openssl s_client -connect localhost:993 -ssl3 | grep "Protocol"
Protocol  : SSLv3

O mesmo que "-ssl2". Courier foi reiniciado várias vezes - sem ajuda. Se nós executarmos o openssl sem especificar a codificação - TLS usado corretamente. Mas como finalmente desabilitar o SSL?

Nota - Eu não quero mudar TLS_CIPHER_LIST - Eu quero entender, porque parece correto, mas não funcionando como pretendido?

    

Answer 1

Como o @ Steffen-ulrich já apontou nos comentários, você apenas desabilitou o SSLv3- cifras na lista cifra . As cifras SSLv3 e o protocolo SSLv3 estão relacionados, mas não são os mesmos, pois desabilitar as cifras não desabilitam o protocolo. E desativando o protocolo, não desativa as cifras.

Para desativar o SSL no dovecot, use isto:

ssl_protocols = !SSLv3 !SSLv2

Além disso, não conheço um parâmetro chamado tls_cipher_list , mas há ssl_cipher_list . Eu também encorajo você a definir ssl_prefer_server_ciphers = yes e dar preferências para cifras na lista de cifras, como recomendado por Bettercrypto.org em Endurecimento de criptografia aplicado :

# SSL protocols to use
ssl_protocols = !SSLv3 !SSLv2
# SSL ciphers to use
ssl_cipher_list = EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH:+CAMELLIA256:+AES256:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!ECDSA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
# Prefer the server's order of ciphers over client's.
ssl_prefer_server_ciphers = yes