Existe uma maneira de desabilitar certos códigos e protocolos no nível openssl?

Question

No nível do aplicativo, às vezes não há uma maneira (fácil) de desativar, por exemplo, o SSLv2 etc. E no nível openssl (claro, para aplicativos que usam libs compartilhadas openssl)?

    

Answer 1

Em geral, é possível compilar o OpenSSL sem o suporte SSLv2 , mas você pode ter que recompilar a maioria (se não todas) do aplicativo que depende isto. Acredito que os caras do Ubuntu façam algo semelhante . Se você pensar assim, pode ser mais simples apenas corrigir sua aplicação para usar SSLv3 ou TLSv1 .

De acordo com esta postagem do blog , suas outras opções são configurações específicas de aplicativos (se o seu aplicativo oferecer suporte a elas), ou o uso de stunnel .

Além disso, não tenho conhecimento de nenhuma outra opção para desativar versões ou algoritmos SSL específicos.

    

Answer 2

Eu faço isso com a configuração do apache: No meu VirtualHost, este código habilita somente SSL3, mas desabilita tudo o mais. TLS e SSL2.

   SSLEngine on
   SSLProtocol -all +SSLv3
   SSLCipherSuite SSLv3:+HIGH:+MEDIUM:+LOW:+EXP
   SSLCertificateFile /usr/local/etc/apache22/ssl/my.pem
   SSLCertificateKeyFile /usr/local/etc/apache22/ssl/my.key